推荐关注扫码关注“后端架构师”，选择“星标”公众号重磅干货，第一时间送达！责编：架构君 | 来源：ximeneschen.blog.csdn.net/article/details/115182080上一篇好文：
Ele

 

推荐关注扫码关注“后端架构师”，选择“星标”公众号重磅干货，第一时间送达！责编：架构君 | 来源：ximeneschen.blog.csdn.net/article/details/115182080上一篇好文：

Element Plus二次开发而成后台管理系统，简洁实用美观大方！大家好，我是后端架构师一、概述SSO是Single Sign On的缩写，OAuth是Open Authority的缩写，这两者都是使用令牌的方式来代替用户密码访问应用。

流程上来说他们非常相似，但概念上又十分不同SSO大家应该比较熟悉，它将登录认证和业务系统分离，使用独立的登录中心，实现了在登录中心登录后，所有相关的业务系统都能免登录访问资源OAuth2.0原理可能比较陌生，但平时用的却很多，比如访问某网站想留言又不想注册时使用了微信授权。

以上两者，你在业务系统中都没有账号和密码，账号密码是存放在登录中心或微信服务器中的，这就是所谓的使用令牌代替账号密码访问应用二、SSO两者有很多相似之处，下面我们来解释一下这个过程先来讲解SSO，通过SSO对比OAuth2.0，才比较好理解OAuth2.0的原理。

SSO的实现有很多框架，比如CAS框架，以下是CAS框架的官方流程图特别注意：SSO是一种思想，而CAS只是实现这种思想的一种框架而已

上面的流程大概为：用户输入网址进入业务系统Protected App，系统发现用户未登录，将用户重定向到单点登录系统CAS Server，并带上自身地址service参数用户浏览器重定向到单点登录系统，系统检查该用户是否登录，这是SSO(这里是CAS)系统的第一个接口，该接口如果用户未登录，则将用户重定向到登录界面，如果已登录，则设置全局session，并重定向到业务系统

用户填写密码后提交登录，注意此时的登录界面是SSO系统提供的，只有SSO系统保存了用户的密码，SSO系统验证密码是否正确，若正确则重定向到业务系统，并带上SSO系统的签发的ticket浏览器重定向到业务系统的登录接口，这个登录接口是不需要密码的，而是带上SSO的ticket，业务系统拿着ticket请求SSO系统，获取用户信息。

并设置局部session，表示登录成功返回给浏览器sessionId(tomcat中叫JSESSIONID)之后所有的交互用sessionId与业务系统交互即可最常见的例子是，我们打开淘宝APP，首页就会有天猫、聚划算等服务的链接，当你点击以后就直接跳过去了，并没有让你再登录一次

三、OAuth2.0OAuth2.0有多种模式，这里讲的是OAuth2.0授权码模式，OAuth2.0的流程跟SSO差不多，在OAuth2中，有授权服务器、资源服务器、客户端这样几个角色，当我们用它来实现SSO的时候是不需要资源服务器这个角色的，有授权服务器和客户端就够了。

授权服务器当然是用来做认证的，客户端就是各个应用系统，我们只需要登录成功后拿到用户信息以及用户所拥有的权限即可用户在某网站上点击使用微信授权，这里的某网站就类似业务系统，微信授权服务器就类似单点登录系统

之后微信授权服务器返回一个确认授权页面，类似登录界面，这个页面当然是微信的而不是业务系统的用户确认授权，类似填写了账号和密码，提交后微信鉴权并返回一个ticket，并重定向业务系统业务系统带上ticket访问微信服务器，微信服务器返回正式的token，业务系统就可以使用token获取用户信息了。

简介一下OAuth2.0的四种模式：授权码（authorization-code）授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。

授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成这样的前后端分离，可以避免令牌泄漏隐藏式（implicit）有些 Web 应用是纯前端应用，没有后端这时就不能用上面的方式了，必须将令牌储存在前端。

RFC 6749 就规定了第二种方式，允许直接向前端颁发令牌这种方式没有授权码这个中间步骤，所以称为（授权码）“隐藏式”（implicit）密码式（password）如果你高度信任某个应用，RFC 6749 也允许用户把用户名和密码，直接告诉该应用。

该应用就使用你的密码，申请令牌，这种方式称为"密码式"（password）客户端凭证（client credentials）最后一种方式是凭证式（client credentials），适用于没有前端的命令行应用，即在命令行下请求令牌。

简单流程

四、说一下几个名词的区别首先，SSO是一种思想，或者说是一种解决方案，是抽象的，我们要做的就是按照它的这种思想去实现它其次，OAuth2是用来允许用户授权第三方应用访问他在另一个服务器上的资源的一种协议，它不是用来做单点登录的，但我们可以利用它来实现单点登录。

在本例实现SSO的过程中，受保护的资源就是用户的信息（包括，用户的基本信息，以及用户所具有的权限），而我们想要访问这这一资源就需要用户登录并授权，OAuth2服务端负责令牌的发放等操作，这令牌的生成我们采用JWT，也就是说JWT是用来承载用户的Access_Token的。

最后，Spring Security、Shiro是用于安全访问的，用来做访问权限控制，都是一个用Java写的框架-已完结-为了跟上AI时代我干了一件事儿，我创建了一个知识星球社群：ChartGPT与副业。

想带着大家一起探索ChatGPT和新的AI时代有很多小伙伴搞不定ChatGPT账号，于是我们决定，凡是这三天之内加入ChatPGT的小伙伴，我们直接送一个正常可用的永久ChatGPT独立账户这是我目前见过最好的知识星球。

值得推荐简单说下这个星球能给大家提供什么：星球分享：1、不断分享如何使用ChatGPT来完成各种任务，让你更高效地使用ChatGPT，以及副业思考、变现思路、创业案例、落地案例分享2、分享ChatGPT的使用方法、最新资讯、商业价值。

3、探讨未来关于ChatGPT的机遇，共同成长4、帮助大家解决ChatGPT遇到的问题5、提供一整年的售后服务，一起搞副业星球福利：1、加入星球4天后，就送ChatGPT独立账号2、邀请你加入ChatGPT会员交流群。

3、赠送一份完整的ChatGPT手册和66个ChatGPT副业赚钱手册其它福利还在筹划中...不过，我给你大家保证，加入星球后，收获的价值会远远大于今天加入的门票费用 ！本星球第一期原价399，目前属于试运营，早鸟价。

119，每超过50人涨价10元，星球马上要来一波大的涨价，如果你还在犹豫，可能最后就要以更高价格加入了。。早就是优势。建议大家尽早以便宜的价格加入！

昨天发的20个优惠卷已经用完，今天我又放出来了100个20元优惠卷，相当于99元就能加入。早就是优势！对了现在加入还送一个ChatGPT独享帐号。名额有限，先到先得：

欢迎有需要的同学试试，如果本文对您有帮助，也请帮忙点个 赞 + 在看 啦！❤️在 GitHub猿 还有更多优质项目系统学习资源，欢迎分享给其他同学吧！PS：如果觉得我的分享不错，欢迎大家随手点赞、转发、在看。

最后给读者整理了一份BAT大厂面试真题，需要的可扫码加微信备注：“面试”获取。

版权申明：内容来源网络，版权归原创者所有除非无法确认，我们都会标明作者及出处，如有侵权烦请告知，我们会立即删除并表示歉意谢谢!END最近面试BAT，整理一份面试资料《Java面试BAT通关手册》，覆盖了Java核心技术、JVM、Java并发、SSM、微服务、数据库、数据结构等等。

在这里，我为大家准备了一份2021年最新最全BAT等大厂Java面试经验总结

别找了，想获取史上最全的Java大厂面试题学习资料扫下方二维码回复「面试」就好了

历史好文：比特币又爆了分享一个牛逼的开源后台管理系统，不要造轮子了（附源码）！基于SpringBoot 的CMS系统，拿去开发企业官网真香10w 行级别数据的 Excel 导入优化记录面试官：MySQL 批量插入，如何不插入重复数据？。

写代码爬取了某 Hub 资源，只为撸这个鉴黄平台！SpringBoot 统一功能处理：用户登录权限校验-拦截器、异常处理、数据格式返回！MySQL，我随手造200W条数据，给你们讲讲分页优化！一款前后端分离企业级系统，开箱即用，迈向未来的快速开发平台！

SpringBoot 为了偷懒，我封装了一个自适配的数据单位转换工具类！恐怖的GPT4！我也入局了还在用 if else 做参数校验？快来学习高级参数校验吧！2 万字长文深入详解 Kafka，从源码到架构全部讲透！

恐怖的ChatGPT，我 All in 了！

扫码关注“后端架构师”，选择“星标”公众号重磅干货，第一时间送达！

免责声明：本站所有信息均搜集自互联网，并不代表本站观点，本站不对其真实合法性负责。如有信息侵犯了您的权益，请告知，本站将立刻处理。联系QQ：1640731186