3.2 WEB-SSO代码讲解

3.2.1身份认证服务代码解析

Web-SSO的源代码可以从网站地址http://gceclub.sun.com.cn/wangyu/web-sso/websso_src.zip下载。身份认证服务是一个标准的web应用，包括一个名为SSOAuth的Servlet，一个login.jsp文件和一个failed.html。身份认证的所有服务几乎都由SSOAuth的Servlet来实现了；login.jsp用来显示登录的页面（如果发现用户还没有登录过）；failed.html是用来显示登录失败的信息（如果用户的用户名和密码与信息数据库中的不一样）。

SSOAuth的代码如下面的列表显示，结构非常简单，先看看这个Servlet的主体部分：

package DesktopSSO;

 

import java.io.*;

import java.net.*;

import java.text.*;

import java.util.*;

import java.util.concurrent.*;

 

import javax.servlet.*;

import javax.servlet.http.*;

 

 

public class SSOAuth extends HttpServlet {

   

    static private ConcurrentMap accounts;

    static private ConcurrentMap SSOIDs;

    String cookiename="WangYuDesktopSSOID";

    String domainname;

   

    public void init(ServletConfig config) throws ServletException {

        super.init(config);

        domainname= config.getInitParameter("domainname");

        cookiename = config.getInitParameter("cookiename");

        SSOIDs = new ConcurrentHashMap();

        accounts=new ConcurrentHashMap();

        accounts.put("wangyu", "wangyu");

        accounts.put("paul", "paul");

        accounts.put("carol", "carol");

    }

 

    protected void processRequest(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        PrintWriter out = response.getWriter();

        String action = request.getParameter("action");

        String result="failed";

        if (action==null) {

            handlerFromLogin(request,response);

        } else if (action.equals("authcookie")){

            String myCookie = request.getParameter("cookiename");

            if (myCookie != null) result = authCookie(myCookie);

            out.print(result);

            out.close();

        } else if (action.equals("authuser")) {

           result=authNameAndPasswd(request,response);

            out.print(result);

            out.close();

        } else if (action.equals("logout")) {

            String myCookie = request.getParameter("cookiename");

            logout(myCookie);

            out.close();

        }

    }

 

.....

 

}

 

从代码很容易看出，SSOAuth就是一个简单的Servlet。其中有两个静态成员变量：accounts和SSOIDs，这两个成员变量都使用了JDK1.5中线程安全的MAP类： ConcurrentMap，所以这个样例一定要JDK1.5才能运行。Accounts用来存放用户的用户名和密码，在init()的方法中可以看到我给系统添加了三个合法的用户。在实际应用中，accounts应该是去数据库中或LDAP中获得，为了简单起见，在本样例中我使用了ConcurrentMap在内存中用程序创建了三个用户。而SSOIDs保存了在用户成功的登录后所产生的cookie和用户名的对应关系。它的功能显而易见：当用户成功登录以后，再次访问别的系统，为了鉴别这个用户请求所带的cookie的有效性，需要到SSOIDs中检查这样的映射关系是否存在。

 

在主要的请求处理方法processRequest()中，可以很清楚的看到SSOAuth的所有功能

 

下面看看几个主要的功能函数：

 private void handlerFromLogin(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        String username = request.getParameter("username");

        String password = request.getParameter("password");

        String pass = (String)accounts.get(username);

        if ((pass==null)||(!pass.equals(password)))

            getServletContext().getRequestDispatcher("/failed.html").forward(request, response);

        else {

            String gotoURL = request.getParameter("goto");

            String newID = createUID();

            SSOIDs.put(newID, username);

            Cookie wangyu = new Cookie(cookiename, newID);

            wangyu.setDomain(domainname);

            wangyu.setMaxAge(60000);

            wangyu.setValue(newID);

            wangyu.setPath("/");

            response.addCookie(wangyu);

            System.out.println("login success, goto back url:" + gotoURL);

            if (gotoURL != null) {

                PrintWriter out = response.getWriter();

                response.sendRedirect(gotoURL);

                out.close();

            }

        }  

    }

handlerFromLogin()这个方法是用来处理来自login.jsp的登录请求。它的逻辑很简单：将用户输入的用户名和密码与预先设定好的用户集合（存放在accounts中）相比较，如果用户名或密码不匹配的话，则返回登录失败的页面（failed.html），如果登录成功的话，需要为用户当前的session创建一个新的ID，并将这个ID和用户名的映射关系存放到SSOIDs中，最后还要将这个ID设置为浏览器能够保存的cookie值。

登录成功后，浏览器会到哪个页面呢？那我们回顾一下我们是如何使用身份认证服务的。一般来说我们不会直接访问身份服务的任何URL，包括login.jsp。身份服务是用来保护其他应用服务的，用户一般在访问一个受SSOAuth保护的Web应用的某个URL时，当前这个应用会发现当前的用户还没有登录，便强制将也页面转向SSOAuth的login.jsp，让用户登录。如果登录成功后，应该自动的将用户的浏览器指向用户最初想访问的那个URL。在handlerFromLogin()这个方法中，我们通过接收“goto”这个参数来保存用户最初访问的URL，成功后便重新定向到这个页面中。

另外一个要说明的是，在设置cookie的时候，我使用了一个setMaxAge(6000)的方法。这个方法是用来设置cookie的有效期，单位是秒。如果不使用这个方法或者参数为负数的话，当浏览器关闭的时候，这个cookie就失效了。在这里我给了很大的值（1000分钟），导致的行为是：当你关闭浏览器（或者关机），下次再打开浏览器访问刚才的应用，只要在1000分钟之内，就不需要再登录了。我这样做是下面要介绍的桌面SSO中所需要的功能。

其他的方法更加简单，这里就不多解释了。