統(tǒng)一用戶認證平臺實施方案一、項目總體需求1.1.需求背景隨著信息技術(shù)和網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，內(nèi)部的應(yīng)用系統(tǒng)越來越多。由于這些系統(tǒng)互相獨立，用戶在使用每個應(yīng)用系統(tǒng)之前都必須按照相應(yīng)的系統(tǒng)身份進行登錄，為此用戶必須記住每一個系統(tǒng)的用戶名和密碼，這給用戶帶來了不少麻煩。特別是隨著系統(tǒng)的增多，出錯的可能性就會增加，受到非法截獲和破壞的可能性也會增大，安全性就會相應(yīng)降低。針對于這種情況，統(tǒng)一用戶認證、單點登錄等概念應(yīng)運而生，同時不斷地被應(yīng)用到應(yīng)用系統(tǒng)中1.2.開發(fā)目的增加系統(tǒng)安全性通過登錄時賬號的多重驗證方式（用戶密碼，UKEY驗證）提供用戶身份認證的復(fù)雜度從而提供認證系統(tǒng)以及子系統(tǒng)安全性標準化子系統(tǒng)接入方式降低接入成本用戶認證平臺SSO.CENTER為子系統(tǒng)提供標準的SSO認證接口，認證服務(wù)使用LDAP協(xié)議，服務(wù)器端實現(xiàn)使用openLDAP+CAS，客戶端使用PHPLDAPAdmin，使得用戶接入方式標準化從而降低接入成本1.3.系統(tǒng)技術(shù)解決方案總體說明,本系統(tǒng)后臺數(shù)據(jù)庫采MySQL數(shù)據(jù)庫存儲用戶數(shù)據(jù)。其體積小、速度快、可以處理擁有上千萬條記錄；功能層采用C#語言作為主要的開發(fā)工具，采用以下技術(shù)：1.表示層：HTML、C#語言2.功能層：C#語言3.數(shù)據(jù)層：MySQL。4.插件開發(fā)：插件使用C++語言實現(xiàn)系統(tǒng)開發(fā)工具的選擇：MySQL作為系統(tǒng)服務(wù)器端數(shù)據(jù)庫、Web服務(wù)器采用tomcat7。系統(tǒng)硬件資源配置主要是：高性能的服務(wù)器兩臺（系統(tǒng)數(shù)據(jù)庫服務(wù)器、系統(tǒng)的Web服務(wù)器）、基本網(wǎng)絡(luò)設(shè)備、暢通的網(wǎng)絡(luò)環(huán)境以及打印機等設(shè)備。1.系統(tǒng)運行環(huán)境：服務(wù)器端Windows2012server系統(tǒng)2.生產(chǎn)環(huán)境：visualstudio20163.開發(fā)語言與框架：C#+Mysql+Html+Javascript；4.輔助設(shè)計工具：應(yīng)用Visio、BalsamiqMockups等工具進行輔助設(shè)計；5.系統(tǒng)網(wǎng)絡(luò)架構(gòu)：平臺使用B/S架構(gòu)，技術(shù)架構(gòu)如下圖（1.1）所示。6.協(xié)議與技術(shù)框架：SSO認證協(xié)議：CAS+Auth2.0業(yè)務(wù)層架構(gòu)：shiro+springmvc+mybatis+spring二、系統(tǒng)功能設(shè)計架構(gòu)圖三、系統(tǒng)業(yè)務(wù)流程設(shè)計用戶單點登錄流程圖Auth2.0第三方賬號登錄流程子系統(tǒng)驗證流程四、平臺功能設(shè)計概要4.1用戶管理系統(tǒng)4.1.1用戶信息管理添加用戶：添加，修改用戶基本信息，包括用名，郵箱，手機號碼，設(shè)置用戶登錄名和密碼。用戶信息查看：根據(jù)用戶名或登錄時間查詢用戶列表，并顯示用戶信息。4.1.2用戶審計統(tǒng)計用戶登錄日志，設(shè)置用戶登錄狀態(tài)（凍結(jié)賬戶，解凍賬戶）4.1.2用戶組及權(quán)限管理4.2身份認證系統(tǒng)1.系統(tǒng)權(quán)限機制：系統(tǒng)權(quán)限模塊使用自定義用戶角色機制；2.自定義用戶角色：管理員可創(chuàng)建用戶角色組，并設(shè)置角色組名稱，查看角色組所有用戶；3.自定義權(quán)限：針對不同的角色組設(shè)置不同的權(quán)限；4.自定義用戶：創(chuàng)建用戶賬戶并加入到不同的角色組（用戶權(quán)限設(shè)置）。操作流程簡述：創(chuàng)建角色.選擇功能模塊—>添加管理員.將管理員添加到該角色（管理員獲得該角色權(quán)限）、編輯角色權(quán)限后對應(yīng)管理員權(quán)限相應(yīng)改變（需注銷登錄）4.2.1子系統(tǒng)管理添加（注冊）修改認證子系統(tǒng)信息，按子系統(tǒng)名稱查找顯示子系統(tǒng)信息4.2.2身份認證接口平臺提供標準化統(tǒng)一的身份認證接口，供子系統(tǒng)認證用戶身份時使用，通訊協(xié)議使用LDAP標準協(xié)議，認證成功后返回用戶信息4.3安全系統(tǒng)4.3.1動態(tài)密碼系統(tǒng)按規(guī)則生成動態(tài)密碼，以電子郵件（須提供smtp服務(wù)器接口）或短信方式（短信發(fā)送接口）發(fā)送給用戶，登錄時驗證動態(tài)密碼（若系統(tǒng)設(shè)置開啟動態(tài)密碼驗證登錄）4.3.2安全證書模塊1.安全證書管理：生成安全證書VIN（證書標識）并寫入UKEY中，完成VIN與用戶綁定，設(shè)置證書登錄有限期，設(shè)置登錄是否有效狀態(tài)，修改并重新寫入UKEY。2.UKEY插件：使用C++語言開發(fā)瀏覽器插件（支持IE內(nèi)核），用戶運行登錄界面時提示用戶下載并按照該插件，插件安裝后，用戶插入UKEY硬件實現(xiàn)自動讀取其內(nèi)容，用戶登錄時將讀取到的內(nèi)容提交至服務(wù)進行驗證（若系統(tǒng)設(shè)置中開啟證書等驗證）3.第三方登錄：系統(tǒng)支持客戶使用第三方賬號登錄后臺支持對第三方賬號管理（修改是否開啟，修改接口地址，修改認證秘鑰），不