导航:首页 > 编程语言 > phpsso开源框架

phpsso开源框架

 发布时间：2023-05-19 07:39:24

Ⅰ 使用thinkphp框架实现单点登录，服务端也要用tp，谁弄过

可以参考各大开源软件的实现模式，如discuz的uc,phpcms的phpsso等

Ⅱ 好用的低代码平台有哪些

learun .net/java 低代码快速开发平台是一套基于智能化可扩展组件式的软件系统项目，使用了当前主流的应用开发技术，框架内置工作流、向导式智能开发组件、即时通讯拍档亩组件、APP开发组件、微信组件、通用权限等一系列组件，以及可扩展的系统机制，开发人员通过一系列简单配置就可以快速构建高质量的信息系统。

力软开发框架有哪些优势

*提高开发效率

已集成大量业务模板和公共组件，开发人员只需根据开发向导进行设置就可快速完成开发工作，比起传统开发至少要节约80%工作量，能大大提升开发效率。

如果需要二次开发，可以直接修改生成的源代码。

*保证软件质量

拥有规范蠢磨的编码、专业的架构、稳定高效的底层。基于力软框架做开发，可以大幅度地提升软件质量，提升软件稳定性。

*降低开发成本

相较于定制开发和从基础自主搭建，采用力软开发方案仅需一套框架的成本，并且对框架使用人员的技术没有硬性要求，新手也可快速上手。

*提升用户满意

UI作为一款产品的“脸面”，势必影响产品的第一直观印象。框袭森架已经为开发人员提供了多套美观简洁的UI，使开发人员有更多的精力在功能开发上。配合框架良好的编码规范，开发出的产品用户体验友好度必定大大提升，用户满意度也会大大提高。

更多优势

*采用 SOA 架构，系统核心功能均可以通过服务的方式提供给外部调用，方便系统与 ERP 系统及周边系统、硬件设备接口交互能力，解决企业信息化孤岛问题。

*系统前后台通 Ajax 交互，这样使得前台不必依赖于后台的开发语言，日后要重构成php、JSP 后台的话，UI 层完全不用动。

*开发框架完美支持 Oracle、SQL Server、MYSQL 数据库，并且还支持在框架中同时操作多数据库。

*提供自定义报表功能，可通过编写SQL等作为数据来源进行构建不同类型的图形报表。

*提供工作流引擎组件，开发者可以直接在开发框架中使用自定义表单来承载业务数据进行流程审批；也可以编写代码完成复杂表单然后调用流程引擎服务进行流程审批。

*强大的权限管理组件，基于框架开发出功能后就可以直接给被授权角色授予该功能的权限。

*提供 SSO（单点登陆）服务，方便多系统统一登陆管理。

*框架支持 Websocket，消息实时达。

*提供微信企业号开发组件功能。

*提供 APP 开发功能。

*框架支持 redis 缓存集群。

*原班开发人员售后支持。

如需了解更多详情，可以前往力软官网体验

Ⅲ java开源的其它

Quartz 【Java开源 Job调度】
Quartz是OpenSymphony开源组织在Job scheling领域又一个开源项目,它可以与J2EE与J2SE应用程序相结合也可以单独使用。Quartz可以用来创建简单或为运行十个，百个，甚至是好几万个Jobs这样复杂的日程序表。Jobs可以做成标准的Java组件或 EJBs。Quartz的最新版本为Quartz 1.5.0。
Velocity 【Java开源 模板引擎】
Velocity是一个基于java的模板引擎（template engine）。它允许任何人仅仅简单的使用模板语言（template language）来引用由java代码定义的对象。 当Velocity应用于web开发时，界面设计人员可以和java程序开发人员同步开发一个遵循MVC架构的web站点，也就是说，页面设计人员可以只关注页面的显示效果，而由java程序开发人员关注业务逻辑编码。Velocity将java代码从web页面中分离出来，这样为web站点的长期维护提供了便利，同时也为我们在JSP和PHP之外又提供了一种可选的方案。 Velocity的能力远不止web站点开发这个领域，例如，它可以从模板（template）产生SQL和PostScript、XML，它也可以被当作一个独立工具来产生源代码和报告，或者作为其他系统的集成组件使用。Velocity也可以为Turbine web开发架构提供模板服务（template service）。Velocity+Turbine提供一个模板服务的方式允许一个web应用以一个真正的MVC模型进行开发。 【VeloEclipse ：Velocity在Eclipse平台下的一个辅助开发插件】
Roller Weblogger 【Java开源 Blog博客】
这个weblogging 设计得比较精巧，源代码是很好的学习资料。它支持weblogging应有的特性如：评论功能，所见即所得HTML编辑，TrackBack，提供页面模板，RSS syndication,blogroll管理和提供一个XML-RPC 接口。
XPlanner 【Java开源 项目管理】
XPlanner 一个基于Web的XP团队计划和跟踪工具。XP独特的开发概念如iteration、user stories等，XPlanner都提供了相对应的的管理工具，XPlanner支持XP开发流程，并解决利用XP思想来开发项目所碰到的问题。XPlanner特点包括：简单的模型规划，虚拟笔记卡(Virtual note cards),iterations、user stories与工作记录的追踪，未完成stories将自动迭代，工作时间追踪，生成团队效率，个人工时报表，SOAP界面支持。
JOnAS 【Java开源 J2EE服务器】
JOnAS是一个开放源代码的J2EE实现，在ObjectWeb协会中开发。整合了Tomcat或Jetty成为它的Web容器，以确保符合Servlet 2.3和JSP 1.2规范。JOnAS服务器依赖或实现以下的Java API：JCA、JDBC、JTA 、JMS、JMX、JNDI、JAAS、JavaMail 。
FreeMarker 【Java开源 模板引擎】
FreeMarker允许Java servlet保持图形设计同应用程序逻辑的分离，这是通过在模板中密封HTML完成的。模板用servlet提供的数据动态地生成 HTML。模板语言是强大的直观的，编译器速度快，输出接近静态HTML页面的速度。
【FreeMarker Eclipse Plugin与FreeMarker IDE：Eclipse平台下的辅助开发工具】
Lucene 【Java开源 全文检索】
Apache Lucene是一个开放源程序的搜寻器引擎，利用它可以轻易地为Java软件加入全文搜寻功能。Lucene的最主要工作是替文件的每一个字作索引，索引让搜寻的效率比传统的逐字比较大大提高，Lucen提供一组解读，过滤，分析文件，编排和使用索引的API，它的强大之处除了高效和简单外，是最重要的是使使用者可以随时应自己需要自订其功能。
Beanshell 【Java开源 动态语言】
Beanshell是用Java写成的，一个小型的、免费的、可以下载的、嵌入式的Java源代码解释器，具有对象脚本语言特性。BeanShell执行标准Java语句和表达式，另外包括一些脚本命令和语法。它将脚本化对象看作简单闭包方法（simple method closure）来支持，就如同在Perl和JavaScript中的一样。它具有以下的一些特点：使用Java反射API以提供Java语句和表达式的实时解释执行；可以透明地访问任何Java对象和API；可以在命令行模式、控制台模式、小程序模式和远程线程服务器模式等四种模式下面运行；与在应用程序中一样，可以在小程序中（Applet）正常运行（无需编译器或者类装载器）；非常精简的解释器jar文件大小为175k
Big Two 【Java开源 Java游戏】
采用Java开发的中国式纸牌升级游戏。源码下载
JBoss SSO Framework 【Java开源 身份认证管理】
JBoss SSO Framework是一个组件集能够很容易集成到现有的web应用中提供单一登录功能.该框架已经能够支持一些重要的SSO标准如SAML。整个系统包括以下组件：
1.联合服务器(Federation Server)– 一个联合服务器用于为放置在不同安全域(security domain)中的web应用程序安全地传播Federation Token。
2.Token编排框架(Token Marshalling Framework)– 这是一组灵活的/可插件的Java API用来marshal/unmarshal一个Federation Token。该系统默认提供一个SAML兼容的编排器(Marshaller) 。
3.身份管管理框架(Identity Management Framework)–这是一组灵活的/可插件的Java API用来连接中中央身份存储库(Identity Store)。该系统默认提供一个Provider来连接基于LDAP的身份存储库。
JawFlow 【Java开源 开源工作流】
JawFlow是一个部分遵循WfMC规范，采用JMX技术开发的工作流引擎。它能够解析XPDL，并能够用Java或BSF支持的脚本语言来自定义行为。
rails-asyncweb 【Java开源 Web服务器】
用于JRuby on Rails的一个快速Http服务器。
jBatchEngine 【Java开源 Job调度】
jBatchEngine是一个采用Java开发的批任务spooler。jBatchEngine与其它以时间为驱动的Job调度引擎不同之处在于它是以事件以驱动，可用于启动任何批处理程序。jBatchEngine可以安装成一个Windows Service或一个Unix Daemon。
Gant 【Java开源 项目构建】
Gant是一个基于Ant的构建工具，它采用Groovy脚本代替XML来编写构建逻辑。 Gant完全依赖于Ant task来做真正的事情，所以你如果用Ant实现构建，但不喜欢用XML构建文件，Gant是一个不错的选择。
Jaxmao 【Java开源 Web服务器】
Tomcat是开源的JSP/Servlet服务器。多年的开发使Tomcat已越来越完善，被越来越多的网站采用。Jaxmao(中文版Tomcat)项目的任务是为Tomcat提供一个友好的中文界面，推广Tomcat在中文JSP/Serlet 开发者中的使用。
Metanotion BlockFile 【Java开源 DBMS数据库】
BlockFile一个100%纯Java，轻量级，单个文件嵌入式数据库。它的功能介于SQLite与BerkeleyDB之间。专门为PDA和Mobile应用程序而开发。
JRuleEngine 【Java开源 规则引擎】
JRuleEngine基于JSR94规范的java规则引擎。
JBasic 【Java开源 动态语言】
JBasic是一个完全采用Java开发的BASIC语言解释器。JBasic可运行在大部分Unix系统(包括Mac OS X),Windows command shell,或VMS DCL command line。
jSoapServer 【Java开源 Web Service】
jSoapServer这个Java类包可以集成到Java应用程序中为外部程序提供一个SOAP接口。jSoapServer是一个独立的SOAP服务器,因此不需要让Java程序运行在像Tomcat这样的容器中。
Artistic Style 【Java开源 代码优化】
Artistic Style是一个C,C++,C#和Java源代码缩排/格式化/美化工具。
JLoom 【Java开源 模板引擎】
JLoom是一个采用类似于JSP语法的模板引擎。参数可以是任何Java类型，甚至是泛型(generic)。JLoom还提供一个Eclipse插件来辅助开发。
Liquid look&feel 【Java开源 Swing外观】
基于Mosfet Liquid KDE 3.x主题的Swing外观。
MicroNova YUZU 【Java开源 JSP标签】
MicroNova YUZU开源基于EL的JSP标签库。这是一个增强的JSTL(兼容JSP1.2与JSP 2.0)。

Ⅳ GitHub上面有哪些经典的java框架源码

Ⅳ CAS单点登录原理分析(一)

一，业务分析

在分布式系统架构中，假设把上述的三个子系统部署在三个不同的服务器上。前提是用户登录之后才能访问这些子系统。那么使用传统方式，可能会存在这样的问题：

1.当访问用户中心，需要用户登录帐号

2.当访问购物车，还需要用户登录帐号

3.当访问商品结算，又一次需要用户登录帐号

访问每一个子系统都需要用户登录帐号，这样的体验对于用户来说是极差。而使用单点登录就可以很好地解决上述的问题。

二，单点登录

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

我们目前的系统存在诸多子系统，而这些子系统是分别部署在不同的服务器中，那么使用传统方式的 session 是无法解决的，我们需要使用相关的单点登录技术来解决。

第一步 ：用户访问应用系统1。过滤器判断用户是否登录，没有登录，则重定向（302）到认证系统去进行认证操作。

第二步 ：重定向到认证系统，显示登录界面，用户输入用户名密码。认证系统将用户登录的信息记录到服务器的session中。

第三步 ：认证系统给浏览器发送一个特殊的凭证ticket，浏览器将凭证交给应用系统1，应用系统1则拿着浏览器交给他的凭证ticket去认证系统验证凭证ticket是否有效。凭证ticket若是有效，将用户信息保存到应用系统1的session中一份，并告知应用系统1，用户通过认证。

第四步 ：用户通过认证，浏览器与网站之间进行正常的访问。

第五步 ：当用户再次访问应用系统1，由于应用系统1的session中有用户信息，所以就不用经过认证系统认证，就可以直接访问应用系统1了。

第六步 ：当用户再去访问其他应用系统时，浏览器会带着凭证ticket过去，其他应用系统到认证系统验证凭证，凭证ticket若是有效，将用户信息保存到其他应用系统的session中一份，并告知其他应用系统，用户通过认证。

第七步 ：用户通过认证，浏览器与网站之间进行正常的访问。

第八步 ：当用户再次访问其他应用系统，由于其他应用系统的session中有用户信息，所以就不用经过认证系统认证，就可以直接访问其他应用系统了。

三、Yelu大学研发的CAS(Central Authentication Server)

1.什么是CAS？

CAS 是 Yale 大学发起的一个开源项目，旨在为 Web 应用系统提供一种可靠的单点登录方法，CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目。CAS 具有以下特点：

【1】开源的企业级单点登录解决方案。

【2】CAS Server 为需要独立部署的 Web 应用。这个CAS框架已经提供

【3】CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用)，包括Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对用户的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登录时，重定向到 CAS Server。下图是 CAS 最基本的协议过程：

2.CAS的详细登录流程

该图主要描述

1.第一次访问http://shopping.xiaogui.com

2.在登录状态下第二次访问http://shopping.xiaogui.com

3.在登录状态下第一次访问http://pay.xiaogui.com

下面对图中序号代表的操作进行说明

当用户第一次访问http://shopping.xiaogui.com

序号1: 用户请求http://shopping.xiaogui.com，会经过AuthenticationFilter认证过滤器(在cas client 的web.xml中配置)

主要作用：判断是否登录，如果没有登录则重定向到认证中心。

大概知道这个就行，CAS的具体实现会在以后的博客中写道

序号2:  AuthenticationFilter发现用户没有登录，则返回浏览器重定向地址。

重定向的地址就是认证服务器CAS Server的地址，后面的参数是我们请求的客户端地址，这个参数目的就是为了认证成功以后，根据这个参数的地址重定向回请求的客户端

序号3:  浏览器根据响应回来的重定向地址，向cas.xiaogui.com认证系统发出请求

序号4:  认证系统cas.xiaogui.com接收请求，响应登陆页面

序号5: ：用户登陆页面输入用户名密码，提交请求

序号6: ：CAS Server 认证服务器接收用户名和密码，就行验证，验证逻辑CAS Server 已经实现，并响应给浏览器信息

这里的用户名，密码不需要关心，后续会讲到

图中1，2部分表示序号5 输入的用户名，密码，以及发出的请求。当认证服务器验证通过之后，根据请求参数service的值，进行重定向，其实就是回到了请求的客户端，同时会携带一个ticket令牌参数。同时会在Cookie中设置一个TGC，该cookie是网站认证系统cas.xiaogui.com的cookie，只有访问这个网站才会携带这个cookie过去。

*****注意：这个携带TGC的Cookie是实现CAS单点登录的关键所在！

Cookie中的TGC：向cookie中添加该值的目的是当下次访问cas.xiaogui.com认证系统时，浏览器将Cookie中的TGC携带到服务器，服务器根据这个TGC，查找与之对应的TGT。从而判断用户是否登录过了，是否需要展示登录页面。TGT与TGC的关系就像SESSION与Cookie中SESSIONID的关系。

TGT：Ticket Granted Ticket（俗称大令牌，或者说票根，他可以签发ST）

TGC：Ticket Granted Cookie（cookie中的value），存在Cookie中，根据他可以找到TGT。

ST：Service Ticket （小令牌），是TGT生成的，默认是用一次就生效了。也就是上面数字3处的ticket值。

序号7:  客户端拿到请求中的ticket信息，也就是图中1的位置

然后经过一个ticket过滤器，去认证系统CAS Server判断ticket是否有效

这个过滤器的主要工作就是校验客户端传过来的ticket是否有效

CAS Client 客户端  shopping.xiaogui.com  中web.xml的配置

序号8:  向CAS Server认证系统发出验证ticket的请求，也就是图中2的位置，然后执行ticket验证

序号9:  通过校验之后，把用户信息保存到客户端的session中，并把客户端的SessionID设置在Cookie中，同时告知客户端ticket有效。当用户再次访问该客户端，就可以根据Cookie 中的SessionID找到客户端的Session，获取用户信息，就不用再次进行验证了。也就是图中响应给浏览器的部分。

序号10:  shopping.xiaogui.com客户端接收到cas-server的返回，知道了用户已经登录，ticket有效，告知浏览器可以进行访问。

至此，用户第一次访问流程结束。

当用户第二次访问http://shopping.xiaogui.com

序号11: 当用户第二次访问，仍然会经过AuthenticationFilter过滤器，但与第一次访问不同的是此时客户端session中已经存在用户的信息，浏览器中的Cookie会根据SessionID找到Session，获取用户信息，所以不需要进行验证，可以直接访问。

序号12:  客户端告知浏览器可以进行访问。

当用户第一次访问http://pay.xiaogui.com

序号13:   用户向pay.xiaogui.com  CAS Client客户端发出请求

序号14:  ：pay.xiaogui.com接收到请求，发现第一次访问，于是给他一个重定向的地址，让他去找认证中心登录。

序号15: 浏览器根据上面响应的地址，发起重定向，因为之前访问过一次了，因此这次会携带上次返回的Cookie：TGC到认证中心。

序号16:  认证中心收到请求，发现TGC对应了一个TGT，于是用TGT签发一个ticket，并且返回给浏览器，让他重定向到pay.xiaogui.comCAS Client客户端。

序号17: 根据上面响应回来的地址，进行重定向到pay.xiaogui.comCAS Client客户端

序号18:  pay.xiaogui.comCAS Client客户端带着ticket去认证中心验证是否有效。

序号19:  认证成功，把用户信息保存到客户端的session中，并把客户端的SessionID设置在Cookie中。当用户下次访问pay.xiaogui.comCAS Client客户端，直接登录，无需验证。

序号20:  告知浏览器可以进行访问

CAS单点登录的原理分析大致就是上述的这些，至于CAS单点登录的具体实现，将在下篇博客中写道。

Ⅵ php的cms系统或者其他系统,后台配置项,是如何调用的

这些配置项一般都是写到一个专门的配置文件当中的，例如：

phpcms是将所有的配置文件放置到了configs目录当中，目录当中又写了database.php(数据库配置项)，system.php(系统配置项)等等

配置项在这些文件中直接写成了一个数组，使用的时候写一个获取配置项的函数get_config('database'),这样直接是把database.php给include进来了

更改配置项的时候是file_get_contents，然后匹配替换相关配置就好了。

/**
	*设置config文件
	*@param$config配属信息
	*@param$filename要配置的文件名称
	*/
	functionset_config($config,$filename="system"){
		$configfile=CACHE_PATH.'configs'.DIRECTORY_SEPARATOR.$filename.'.php';
		if(!is_writable($configfile))showmessage('Pleasechmod'.$configfile.'to0777!');
		$pattern=$replacement=array();
		foreach($configas$k=>$v){
			if(in_array($k,array('js_path','css_path','img_path','attachment_stat','admin_log','gzip','errorlog','phpsso','phpsso_appid','phpsso_api_url','phpsso_auth_key','phpsso_version','connect_enable','upload_url','sina_akey','sina_skey','snda_enable','snda_status','snda_akey','snda_skey','qq_akey','qq_skey','qq_appid','qq_appkey','qq_callback','admin_url'))){
				$v=trim($v);
				$configs[$k]=$v;
				$pattern[$k]="/'".$k."'s*=>s*([']?)[^']*([']?)(s*),/is";
		$replacement[$k]="'".$k."'=>${1}".$v."${2}${3},";					
			}
		}
		$str=file_get_contents($configfile);
		$str=preg_replace($pattern,$replacement,$str);
		returnpc_base::load_config('system','lock_ex')?file_put_contents($configfile,$str,LOCK_EX):file_put_contents($configfile,$str);		
	}

Ⅶ Metabase-BI系列04：cookie实现单点登录sso

​ Metabase 可以作为独立的BI平台，本身就有用户组和权限组。而且Metabase支持报表的分享和iframe嵌入的方式进行报表的呈现，我们可以通过这肆激种方式进行数据的呈现。

​ 我们需要登录Metabase系统进行报表创建和发布，如果业务平台有权限的用户想通过业务平台用户进入到Metabase里面，就需要进行单点登录，因为用户不可能登录两个平台用两个账户，当然如果用户能够接受，那就可以用两个账户了。

​ Metabase支持多种单点登录（sso）方式：

这里介绍通过cookie实现简单的单点登录

首先看一下Metabase里面的cookie， metabase.SESSION就是Metabase访问权限的令牌，path为“/”根目录下面，裂郑袜所以获取令牌，将把令牌塞到metabase.SESSION里就可以了。

Metabase doc API说明如下：

所以，我们需要调用/api/session/，传入用户和密码，获取令牌

直接访问Metabase的/api/session会存在跨域的问题

修改Metabase后台允许跨域，Metabase后台用的Ring框架控制跳转，我们引入开源的 ring-cors 框架，配置允许跨域的域和请求，配置Metabase的 handler.clj

对于cookie来说，不同域下的cookie不共享，必须在同个顶级域下设置cookie，所以这也是这种cookie实现单点比较受限制的问题。

对于统一域名不同端口的情况，直接将cookie放到path根目录“/”即可，因为域是相同的

对于不同的二级域名的情况丛键，放到顶级域名下即可

如：aa.test.com和bb.test.com

关于cookie的介绍，推荐文章： https://www.cnblogs.com/hujunzheng/p/5744755.html

blog连接： https://mplingbao.github.io/2019/11/29/metabase-bi-cookie/

Ⅷ SAML和OAuth2这两种SSO协议的区别

SSO是单点登录的简称，常用的SSO的协议有两种，分别是SAML和OAuth2。本文将会介绍两种协议的不同之处，从而让读者对这两种协议有更加深入的理解。

SAML的全称是Security Assertion Markup Language， 是由OASIS制定的一套基于XML格式的开放标准，用在身份提供者（IdP）和服务提供者 (SP)之间交换身份验证和授权数据。

SAML的一个非常重要的应用就是基于Web的单点登录（SSO）。

在SAML协议中定义了三个角色，分别是principal：代表主体通常表示人类用户。identity provider (IdP)身份提供者和service provider (SP)服务提供者。

IdP的作用就是进行身份认证，并且将用户的认证信息和授权信息传递给服务提供者。

SP的作用就是进行用户认证信息的验证，并且授权用户访问指定的资源信息。

接下来，我们通过一个用SAML进行SSO认证的流程图，来分析一下SAML是怎么工作的。

上图中User Agent就是web浏览器闷睁敏，我们看一下如果用户想请求Service Provider的资源的时候，SAML协议是怎么处理的。

SP将会对该资源进行相应的安全检查，如果发现已经有一个有效的安全上下文的话，SP将会跳过2-7步，直接进入第8步。

RelayState是SP维护的一个状态信息，主要用来防止CSRF攻击。

其中这个SAMLRequest是用Base64编码的<samlp:AuthnRequest>，下面是一个samlp:AuthnRequest的例子：

为了安全起见，SAMLRequest还可以使用SP提供的签名key来进行签名。

IdP收到这个AuthnRequest请求之后，将会进行安全验证，如果是合法的AuthnRequest，那么将会展示登录界面。

这个form中包含了SAMLResponse信息，SAMLResponse中包含了用户相关的信息。

同样的SAMLResponse也是使用Base64进行编码过的<samlp:Response>。

我们可以看到samlp:Response中包含有saml:Assertion信息。

我们可以看到上面的所有的信息交换都是由前端浏览器来完成的，在SP和IdP之间早让不存在直接的通信。

这种全部由前端来完成信息交换的方式好处就是协议流非常简单，所有的消息都是简单的GET或者POST请求。

如果蚂枝为了提高安全性，也可以使用引用消息。也就是说IdP返回的不是直接的SAML assertion，而是一个SAML assertion的引用。SP收到这个引用之后，可以从后台再去查询真实的SAML assertion，从而提高了安全性。

SAML协议是2005年制定的，在制定协议的时候基本上是针对于web应用程序来说的，但是那时候的web应用程序还是比较简单的，更别提对App的支持。

SAML需要通过HTTP Redect和HTTP POST协议来传递用户信息，并且通常是通过HTML FORM的格式来进行数据的提交的。如果应用程序并不是web应用，比如说是一个手机App应用。

这个手机APP应用的启动链接是 my-photos://authenticate ， 但是手机app可能并不能获取到Http POST的body内容。他们只能够通过URL来进行参数的传递。

这就意味着，在手机APP中不能够使用SAML。

当然，要想工作也可以，不过需要进行一些改造。比如通过第三方应用对POST消息进行解析，然后将解析出来的SAMLRequest以URL参数的形式传递给APP。

另一种方法就是使用OAuth2.

因为Oauth2是在2012年才产生的。所以并没有那么多的使用限制。我们可以在不同的场合中使用OAuth2。

我们先来看一下OAuth2中授权的流程图：

一般来说OAuth2中有4个角色。

resource owner： 代表的是资源的所有者，可以通过提供用户名密码或者其他方式来进行授权。通常来是一个人。

resource server：代表的是最终需要访问到资源的服务器。比如github授权之后获取到的用户信息。

client： 用来替代resource owner来进行交互的客户端。

authorization server： 用来进行授权的服务器，可以生成相应的Access Token。

整个流程是这样的：

Client向resource owner发起一个授权请求，resource owner输入相应的认证信息，将authorization grant返回给client。

client再将获取到的authorization grant请求授权服务器，并返回access token。

client然后就可以拿着这个access token去请求resource server，最后获取到受限资源。

OAuth2并没有指定Resource Server怎么和Authorization Server进行交互。也没有规定返回用户信息的内容和格式。这些都需要实现方自己去决定。

OAuth2默认是在HTTPS环境下工作的，所以并没有约定信息的加密方式。我们需要自己去实现。

最后，OAuth2是一个授权协议，而不是认证协议。对于这个问题，其实我们可以考虑使用OpenID Connect协议。因为OpenID Connect就是基于OAuth2实现的，并且添加了认证协议。

OpenID Connect简称为OIDC，已成为Internet上单点登录和身份管理的通用标准。 它在OAuth2上构建了一个身份层，是一个基于OAuth2协议的身份认证标准协议。

OAuth2实际上只做了授权，而OpenID Connect在授权的基础上又加上了认证。

OIDC的优点是：简单的基于JSON的身份令牌（JWT），并且完全兼容OAuth2协议。

在SAML协议中，SAML token中已经包含了用户身份信息，但是在OAuth2，在拿到token之后，需要额外再做一次对该token的校验。

但是另一方面，OAuth2因为需要再做一次认证，所以可以在 Authorization Server 端对token进行无效处理。

做过SSO的应该都听说过CAS。CAS的全称是Central Authentication Service，是一个企业级的开源的SSO认证框架。

CAS内部集成了CAS1,2,3，SAML1,2，OAuth2,OpenID和OpenID Connect协议，非常的强大。我们会在后面的文章中介绍CAS的使用。

Ⅸ phpcms v9 前台修改头像没反应

用户头像没存在表里，直接存在框架里，在member表里有个字段伏迟“avatar”，就是有没有头像的标志位，根据这个散厅逗冲卖判断用户有没有头像，有的话直接去phpcms/phpsso_server/uploadfile/avatar路径下的相应id中取头像，这个路径是和每个用户的级别以及id对应的。 希望对你有所帮助！

Ⅹ 服务器装什么软件 phpcms注入漏洞

本文利用了PHPCMS V9的两个漏洞，一个是读取任意文件漏洞，另一个是模版运行php脚本漏洞。使用到的工具：Navicat for Mysql/IE浏览器(建议使用代理)/湛蓝v9代码包（包含文中使用到的所有文件、代码和木马）

1、放置data.txt以备在目标站点读取并在目标站点生成PHP木马脚本使用。

例如将data.txt放置在yun..com/j0192/data.txt

2、通过v9漏洞获取配置信息（请参阅：phpcms V9最新读取站点任意文件漏洞http://skyhome.cn/phpcms/176.html）。

/index.php?m=search&c=index&a=public_get_suggest_keyword&url=asdf&q=../../phpsso_server/caches/configs/database.php

3、通过v9系统漏洞获取到的数据库信息远程登陆目标站点数据库，在v9_admin和v9_sso_admin表中添加账号

username字段：admn
password字段：
encrypt 字段：bGV22e
issuper 字段: 1

4、通过数据库添加管理员账号后使用以下用户名密码在后台登陆，然后修改当前用户密码。

用户名：admn
密码：123456

5、ctrl+a复制write.php全部内容粘贴进v9默认模版下的footer.html保存，然后点击footer.html的可视化运行该模版中的脚本，到此时就完成在目标站点生成木马脚本。

6、打开ifeng.com/caches/caches_template/default/wap/data.class.php

用户名：admin
密码：admin

7、隐藏新增加的管理员。

通过木马脚本上传替换/phpcms/moles/admin/admin_manage.php(默认匹配%admn%)，然后登陆目标站点后台查看管理员列表是否还有用户名为admn的超级管理员，如果没有则表明我们完成了新加管理员的隐藏。

8、隐藏新增加的关联链接

通过木马脚本上传替换/phpcms/moles/admin/keylink.php((默认匹配%skyhome%))

9、将目标网站的漏洞修复，以防其他黑客入侵。

通过木马脚本上传替换/phpcms/moles/search/index.php

防黑参考:

1、关闭数据库远程访问。
2、静态文件及附件等文件目录禁止执行权限。
3、脚本文件目录禁止写权限。
4、系统后台等重要目录限制IP访问。
5、及时关注开源系统官方补丁升级和乌云、sebug等漏洞发布平台，修复系统漏洞。

阅读全文

与phpsso开源框架相关的资料

热点内容
把文件夹设锁 浏览：570
命令行语句 浏览：218
企友3e财务如何连接服务器 浏览：984
华为手机如何删除卸载app残留数据 浏览：543
rpm的命令作用 浏览：365
如何查看网站的服务器时间 浏览：850
编译局和人民出版社 浏览：652
java泛型extends 浏览：326
头条程序员教学 浏览：772
安卓合并什么意思 浏览：530
linux在光盘引导 浏览：537
imap服务器地址怎么查 浏览：654
作曲教程pdf 浏览：506
pr怎么压缩文件大小 浏览：863
查看oracle字符集命令 浏览：179
锂电池增加密度 浏览：661
linux用户密码忘记 浏览：242
gb压缩天然气 浏览：635
图片拼接不压缩app 浏览：670
我的世界如何编程 浏览：86
  • bole
  • rushan
  • weinan
  • focus
  • battle
  • vision
  • truck
  • contact
  • neck
  • visitor
  • gray
  • characteristic
  • transform
  • resist
  • corporation
  • button
  • educate
  • province
  • repeatedly
  • plead
  • van
  • freshman
  • pension
  • shared
  • barn
  • spectacular
  • banker
  • required
  • cue
  • foreigner
  • devise
  • aboard
  • glow
  • reconstruction
  • classmate
  • tin
  • corpse
  • applause
  • nursery
  • gasp
  • oversight
  • exaggerate
  • diagnostic
  • shooter
  • stolen
  • reel
  • uranium
  • scottish
  • coarse
  • farmland
  • ostensibly
  • reprint
  • marketer
  • query
  • indicative
  • vector
  • coroner
  • bipolar
  • misdemeanor
  • ancestry
  • pedagogical
  • iced
  • smallpox
  • grandeur
  • candlelight
  • waft
  • assemblage
  • reddish
  • homestead
  • espresso
  • cayenne
  • imperfection
  • arcane
  • grueling
  • simplified
  • footwear
  • noose
  • nordic
  • thumbnail
  • upstart
  • inexorably
  • lichen
  • invoice
  • coolness
  • laity
  • uneasiness
  • wheelbarrow
  • tribulation
  • carol
  • undaunted
  • attainable
  • rollover
  • cleanser
  • jubilant
  • gutsy
  • prussian
  • flagrant
  • latency
  • whilst
  • banister