若依ruoyi框架单点登录实战：从零到一接入统一认证系统

1. 业务场景与需求分析在企业级应用开发中多系统间的身份认证一直是痛点。想象一下员工每天要在OA、CRM、ERP等不同系统间反复登录既影响效率又增加密码管理负担。这就是统一认证系统单点登录要解决的核心问题——一次登录全网通行。若依框架自带的账号密码登录已经非常成熟但接入上级统一认证平台时需要进行针对性改造。我去年给某制造企业实施这个方案时主要遇到三个技术难点跳过验证码环节统一认证平台已经完成身份校验本地系统无需重复验证自动用户同步当统一认证平台存在但本地不存在的用户首次登录时需要自动创建账户令牌传递验证如何安全地接收并验证来自认证平台的令牌2. 前端改造实战2.1 创建单点登录入口页面在/src/views/下新建login_sso.vue文件时有个坑我踩过三次——文件名必须全小写。因为若依的路由系统对大小写敏感建议完全按照以下结构创建template div classlogin-sso-container div v-loadingloading classloading-mask/div /div /template script export default { name: LoginSso, data() { return { loading: false, redirect: undefined } }, created() { // 监听路由参数变化 this.$watch( () this.$route.query, () { this.handleSsoLogin() }, { immediate: true } ) }, methods: { handleSsoLogin() { const code this.$route.query.code if (!code) { this.$router.push(/login) // 无code参数跳转普通登录 return } this.loading true this.$store.dispatch(LoginSso, { code }) .then(() { this.loading false this.$router.push(this.redirect || /) }) .catch(() { this.loading false }) } } } /script2.2 路由与权限配置在router/index.js中添加路由时建议放在constantRoutes数组的最前面避免被动态路由覆盖{ path: /loginSso, component: () import(/views/login_sso), hidden: true }权限过滤文件permission.js需要添加白名单。这里有个细节优化——建议把单点登录路由设置为最高优先级的白名单const whiteList [/loginSso, /login, /auth-redirect]3. 后端核心改造3.1 控制器开发创建LoginSsoController时推荐采用三层校验机制令牌格式校验长度、字符集调用认证平台接口验证本地用户存在性检查Slf4j RestController public class LoginSsoController { Autowired private ISysUserService userService; PostMapping(/loginSso) public AjaxResult loginSso(RequestParam String token) { // 1. 基础校验 if (StringUtils.isEmpty(token)) { return AjaxResult.error(令牌不能为空); } // 2. 调用认证平台验证 JSONObject ssoResult verifyWithAuthPlatform(token); if (!0.equals(ssoResult.getString(code))) { return AjaxResult.error(ssoResult.getString(msg)); } // 3. 处理本地用户 String username ssoResult.getJSONObject(data).getString(userName); SysUser user userService.selectUserByUserName(username); if (user null) { user createLocalUser(ssoResult); } // 4. 生成本地会话 String localToken loginService.loginNoCaptcha(username, defaultPassword); return AjaxResult.success().put(token, localToken); } }3.2 安全配置调整在ShiroConfig中需要特别注意过滤链顺序。我建议将单点登录接口放在最前面filterChainDefinitionMap.put(/loginSso, anon); filterChainDefinitionMap.put(/login, anon); filterChainDefinitionMap.put(/captchaImage, anon);4. 联调与排错指南4.1 常见问题排查在实施过程中我总结出三个高频问题跨域问题确保认证平台已配置CORS或在Nginx添加以下配置add_header Access-Control-Allow-Origin *; add_header Access-Control-Allow-Methods GET, POST;令牌过期建议实现双令牌机制access_token refresh_token用户信息不同步可以添加定时任务定期同步用户基础信息4.2 性能优化建议对于高并发场景我推荐两个优化点使用Redis缓存认证平台公钥本地用户查询添加二级缓存Cacheable(value userCache, key #username) public SysUser selectUserByUserName(String username) { return userMapper.selectUserByUserName(username); }5. 扩展开发思路除了基础接入还可以考虑这些增强功能登录日志增强记录单点登录来源IP、设备信息权限动态调整根据认证平台返回的角色信息动态更新权限多认证源支持通过策略模式支持多种认证平台我在金融项目中的实践是采用责任链模式处理多认证源public interface AuthHandler { boolean supports(String authType); AuthResult handle(String token); } // 使用时 authHandlers.stream() .filter(h - h.supports(authType)) .findFirst() .orElseThrow() .handle(token);整套方案实施后客户系统的平均登录耗时从原来的8秒降低到1.5秒用户投诉量减少了72%。特别提醒在正式上线前务必做好以下检查压力测试建议使用JMeter模拟并发安全审计特别是令牌传输加密灾备方案认证平台不可用时的降级策略