UTrustSSOAgentClientEe__E_IO

1 概述
UTrust SSO系统实现单点登录方式有三种，一为代填方式，二为Agent方式，二为网关方式。

本次需要完成的工作与Agent的实现方式有关系，因此这里只介绍Agent的实现方式。

Agent的实现方式需要对原有应用系统进行改造，改变原有应用系统的认证方式，同时采用认证服务器提供的技术进行身份认证。

Agent实现单点登录认证时，每个应用服务器中都需要安装一个代理程序（SSO Clinet Agent）完成用户的身份认证工作。

当用户访问目标应用服务器时，代理程序向SSO服务器询问该用户是否已经登录，如果是，则代理程序从SSO服务器中取得该用户的用户信息自动登录该应用系统。

登录成功后，用户直接访问该目标服务器。

如果未曾登录过任何应用服务器，则该应用要求用户进行身份认证，认证结束后，代理程序将认证结果发送给SSO 服务器。

本次需要做的即是需要实现应用服务器端的Agent，由于应用系统开发语言不同，因此需要根据不同的语言实现不同的SSO Clinet Agent供应用系统集成。

当前已经完成了Java 版的SSO Clinet Agent，其作用相当于一个Filter，起拦获用户访问请求，并完成与UTrust SSO服务器的认证过程。

下面描述一下使用Agent时系统的流程。

2 Agent单点登录工作流程
1) 用户输入应用系统１的服务器地址，访问应用服务器；
2) 应用系统１通过会话判断当前用户是否已经登录，如果没有通过登录，则当前的请
求被重定向到UTrust SSO服务器。

3) UTrust SSO服务器根据用户的认证方式（USB KEY，数字证书，用户名口令，动
态令牌等），完成对用户的认证。

4) 认证通过后，服务器生成一张凭证令牌（TGT）到客户端浏览器，并把这个凭证令
牌写入到浏览器的Cookie中。

同时还生成一张服务令牌（Service Ticket 简写成
ST）。

并且缓存下用户基本信息及当前用户访问的应用名称。

服务器把认证后的请
求重定向回到被请求的应用系统，并把生成的服务令牌一起发送到应用系统。

5) 应用系统１得到服务令牌（ST）后，需要再次向认证服务器验证用户是否已经登录
完成。

于是应用系统１提交服务令牌（ST）及应用系统名称到UTrust SSO服务器。

6) UTrust SSO服务器根据服务令牌（ST）及应用系统名称到缓存中查询用户是否已
经登录，如果已经登录，则返回用户信息到应用系统，同时销毁服务令牌（ST），
这样服务令牌（ST）已经过期，不能二次被使用，保证会话的安全。

应用系统１接
收认证结果，判定当前用户已经登录。

用户认证过程完成后，如果用户访问应用系统2时，过程为：
7) 用户打开浏览器，输入应用系统2的访问地址。

8) 应用系统2判断用户是否已经在自身系统中登录，如果没有登录，则通过浏览器重
定向到UTrust SSO服务器，浏览器通过cookie中得到凭证令牌（TGT）发送给
UTrust SSO服务器，由于用户在UTrust SSO服务器上已经通过认证，则客户端
与服务器端的会话（session）已经保持，这个会话已经不需要再次进行认证了，
这时UTrust SSO服务器重新生成一个服务令牌（ST）。

9) UTrust SSO服务器通知浏览器重定向回应用系统2的服务地址，并把服务令牌
（ST）通过参数的方式递回应用系统2。

10) 应用系统２得到服务令牌（ST）后，向认证服务器验证用户是否已经登录完成。

于
是应用系统２提交服务令牌（ST）及应用系统名称到UTrust SSO服务器。

11) UTrust SSO服务器根据服务令牌（ST）及应用系统名称到缓存中查询用户是否已
经登录，如果已经登录，则返回用户信息到应用系统，同时销毁服务令牌（ST），
这样服务令牌（ST）已经过期，不能二次被使用，保证会话的
上述的第七至第十一步为对应用系统2的访问，由于用户已经完成了登录，对应用系统2的访问没有再次要求用户认证，整个认证过程对用户而言是透明的，这样就实现了单点登录。

图2-1 系统工作流程图
3 Agent实现逻辑
3.1 整体实现逻辑
上述agent实现的单点登录流程通过用时序图表示见下图3-1：
１.浏览器请求应用系统，sso client通过filter方法，通过session中的“UTRUST_FILTER_NAME”字段判断是否有值，如果没有值，则表示当前的请求没有被登录。

具体的判断用户是否登录的过程见流程图3-2。

２.用户没有登录时，请求被通过浏览器，重定向回到SSOServer，SSOServer判断到当前请求没有被登录，则显示登录界面。

重定向到SSOServer时，需要带一个service 的参数，service是当前请求的应用系统的访问地址。

３.用户通过登录界面，登录到SSOServer.
４.登录成功后，返回一个参数ticket，ticket是一个随机数组成的字符串。

５.浏览器重定向回到service（应用系统的访问地址），并把ticket做为参数传递给sso client.
６.Sso client通过validate函数校验当前的请求是否在sso正常登录、并获得正常登录的用户的详细信息。

图3-1 SSO client实现时序图
3.2 应用系统认证实现流程
图3-1中的第1步，用户发送请求到sso client时，sso client需要做的工作如图3-2。

Sso client通过session中的UTRUST_FILTER_NAME属性字段判断是否有值，如果有值，则请求放行，可以正常访问需要访问的页面。

如果没有值，则表示用户没有登录，需要到sso服务上登录。

(Autobypass&&servicerunning)表示是否允许旁路的方式，如果允许，且sso服务器是正常运行的，则判断请求中是否有ticket参数，如果ticket为空，则表示用户没有在sso进行登录，需要把请求直接定向到SSO服务器的登录地址，登录地址格式为：“http://<Utrust sso 服务地址>/ssoserver/login?service=”，其中service的值为当前应用系统的地址，如：“service=http://192.168.0.8/oa“。

如果ticket不为空，则表示请求是刚由sso完成了认证，由sso重定向回到client的（图3-1中的第5步）。

得到ticket后，需要把ticket发送回到sso服务器进行校验（参见3.3节）通过校验地址，把ticket发送给sso服务器进行验证，如果用户没有在sso登录或是没有得到授权等，则直接跳转到错误提示页面。

如果用户正常在sso中登录，则由sso返回登录用户的详细信息，并按下表一中的字段定义，把对应的值保存在session中。

上述过程中，servicerunning（sso服务器是正常运行）的判断，需要通过访问
“http://<Utrust sso服务地址>/ssoserver/login”地址判断sso服务是否正常运行，如果能够正常连接，则表示服务正常，如果访问不通，则需要等待30分钟之后再尝试进行连接。

图3-2 认证过程流程图
3.3 校验用户是否登录
向sso校验用户是否已经登录的地址格式为：http（https）://Utrust sso服务地址
/ssoserver/serviceValidate?service=XXXXXX&ticket=XXXXX
首先要校验地址是否合法，包括：
a. 主机地址是否是配置的受信任的地址;
b. 如果配置了要求安全连接，则检查是否使用https连接，且sso服务器是否是出示的
证书是否是受信任的。

如果地址校验不通过，直接给出错误提示页面。

如果地址通过，则直接打开此地址的连接，从ssoserver得到响应：响应的格式如：
然后响应的xml中，解析出相应的值。

如果出错，则响应格式为：
其中code的值分别有：
INVALID_REQUEST：非法的请求
INVALID_TICKET：错误的tickete
INVALID_SERVICE：错误的服务
NTERNAL_ERROR：sso服务器出现内部错误
SERVICE_NOALLOWAD”：请求的服务没有得到授权
错误详细消息出，给出详细的出错误信息。

4 附用户字段表
session中用户信息。

表一用户字段及含义
SSO服务器与应用间以xml格式传输用户信息，其xml文件格式如下。