程序員的自我救贖---3.2：SSO及應用案例

using System;
using System.Collections.Generic;
using System.Dynamic;
using System.Linq;
using System.Net;
using System.Web;
using System.Web.Mvc;
using System.Xml;
using Winner.Framework.MVC.Attribute;
using Winner.Framework.MVC.GlobalContext;
using Winner.Framework.MVC.Models;
using Winner.Framework.MVC.Models.Account;
using Winner.Framework.Utils;

namespace Winner.Framework.MVC
{
    /// <summary>
    /// PC Web用戶登陸檢查
    /// </summary>
    public class AuthLoginAttribute : AuthorizationFilterAttribute
    {
        /// <summary>
        /// 實例化一個新的驗證對象
        /// </summary>
        /// <param name="ignore">是否忽略檢查</param>
        public AuthLoginAttribute(bool ignore = false)
            : base(ignore)
        {
        }

        /// <summary>
        /// 登陸驗證
        /// </summary>
        /// <param name="context">當前上下文</param>
        protected override bool OnAuthorizationing(AuthorizationContext context)
        {
            //Ajax請求但又未登錄時則返回信息
            if (!ApplicationContext.Current.IsLogined && base.ContextProvider.IsAjaxRequest)
            {
                OutputResult("未登錄或者會話已過期，請重新登錄！", 401);
                return false;
            }
            if (context.HttpContext.Session == null)
            {
                throw new Exception("服務器Session不可用！");
            }
            try
            {
                //調用提供者進行登陸
                ProviderManager.LoginProvider.Login();
            }
            catch (Exception ex)
            {
                Log.Error(ex);
                if (ex.InnerException != null)
                {
                    Log.Error(ex.InnerException);
                }
                OutputResult("登陸時出現系統繁忙，請稍后再試！", 401);
                return false;
            }


            //如果沒有登陸則返回
            if (!ApplicationContext.Current.IsLogined)
            {
                OutputResult("未登錄", 401);
                return false;
            }
            return true;
        }
    }
}

我們看到一開始我們有base(ignore)；這個我在前面的篇章中有講到過，這個可以通過配置文件配置，目的是省去我們每個項目開發的時候都要去登錄。

在配置文件中默認一個登錄賬號，這樣調試時候能省很多時間。

我們判斷的步驟是這樣的：

第一步：如果用戶是ajax請求，並且用戶信息不存在的話直接返回false。這里是應對用戶登錄之后用戶長時間未操作造成用戶信息過期失效

因為我們的Winner框架基本都是Ajax請求，所以當兩個條件都存在的時候就直接返回401錯誤。如果界面顯示401則重新刷新一下，

因為刷新就不是Ajax了，所以就會跳到登錄頁去登錄。

第二步：判斷Session是否可用，不可用就直接拋異常了，就是我上面說的禁用Session這種情況。

第三步：在ProviderManager.LoginProvider.Login()，我們才是做了具體的操作，我們看一下Login()代碼：

   public void Login()
        {
            //檢查是否有SSO站點POST過來的用戶退出數據
            string str = HttpContext.Current.Request.Url.Query;
            if (str.Contains("logout"))
            {
                //TODO：退出本地登陸
                Logout();
                return;
            }
            //檢查本地系統是否已登陸
            if (ApplicationContext.Current.IsLogined)
                return;

            //判斷是否有配置自動登陸
            if (GlobalConfig.IsAutoLogin)
            {
                //代理登陸配置文件所配置的用戶
                var autoResult = ApplicationContext.UserLogin(GlobalConfig.DefaultAutoLoginUserId, true);
                if (!autoResult.Success)
                {
                    throw new Exception(autoResult.Message);
                }
                HttpCookie cookie = new HttpCookie("ticket");
                cookie.Value = GlobalConfig.DefaultAutoLoginToken;
                HttpContext.Current.Response.AppendCookie(cookie);
                return;
            }

            //如果沒有Ticket直接跳轉到SSO進行檢查
            int userId;
            if (!ApplicationContext.GetNodeIdByTicket(out userId))
            {
                SSOLogin();
                return;
            }
            Log.Debug("user_id={0}", userId);
            //登陸到本地系統
            var result = ApplicationContext.UserLogin(userId, false);
            if (!result.Success)
            {
                throw new Exception(result.Message);
            }
        }

  private void SSOLogin()
        {
            string service = HttpContext.Current.Request.Url.AbsoluteUri;
            service = Regex.Replace(service, @"\?ticket[^&]*.", "");
            string url = string.Concat(GlobalConfig.SSO_LoginURL, "?service=", HttpContext.Current.Server.UrlEncode(service));
            HttpContext.Current.Response.Redirect(url);
        }

這里ApplicationContext.Current.IsLogined為True的話，就是用戶已經登錄過了，登錄過了就返回，IsLogined屬性里面是判斷了用戶信息是否存在。

如果配置了自動登錄，則裝載自動登錄的用戶信息，從配置文件中讀取。最后，上面判斷都False的話，就跳到SSO系統去登錄獲取ticket。

===================================華麗的分割線===========================

下面就是SSO系統做的事情，SSO最基本的職責就是登錄，首先就是登錄界面。根據用戶填寫的賬號密碼判斷用戶是否注冊，沒有注冊則注冊。

說白了就是登錄注冊流程。用戶在SSO登錄成功之后則創建Session保存用戶賬號，然后生成一個ticket字符串。每個團隊對於Ticket字符串的內容

都不太相同，但是大抵就是要請求界面的url，賬戶號，授權碼這些。

當然子系統判斷URL中有ticket值的時候，就將Ticket 寫入子項目的Session，其實我們會有一個UserInfo的基礎對象，這個Userinfo是一個用戶信息的model。

這個是根據Ticket帶過來用戶賬戶再到數據庫查了一次的。

Jason重構一次SSO，方式上有點變動，更多的是采用Oauth2.0的方式。不清楚Oauth的可以看我上篇文章《理解Oauth2.0》。

這里我公開一下我們SSO項目的源碼，所以我就不一一的貼出來了。有興趣的朋友可以自己看代碼不懂的可以在QQ群里咨詢。

SSO登錄中心GitHub下載地址：https://github.com/demon28/OAuth2.git

就寫到這里。有興趣一起探討Winner框架的可以加我們QQ群：261083244。或者掃描左側二維碼加群。

免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。