张伟（学生）: 李老师，我最近在学习统一身份认证（SSO），但不太明白它在高校系统中是如何应用的。特别是理工大学这样的大型机构，他们的系统是怎么管理用户的？

李明（系统管理员）: 很好的问题！统一身份认证在高校系统中非常重要。以理工大学为例，他们通常会采用一个中心化的身份管理系统，用户只需一次登录就可以访问多个子系统，比如教务系统、图书馆、科研平台等。

张伟: 那这个系统是怎么工作的呢？有没有具体的例子或者代码可以参考？

李明: 当然有。我们可以用一个简单的Spring Boot项目来演示一下。首先，我们需要一个核心的身份认证服务，比如使用OAuth2或JWT来实现。

张伟: OAuth2是什么？能详细说说吗？

李明: OAuth2是一种授权协议，允许第三方应用在不暴露用户密码的情况下获取用户资源。在理工大学的场景中，用户登录后，系统会生成一个访问令牌（Access Token），然后其他系统可以通过这个令牌来验证用户身份。

张伟: 那么，如何在实际中实现这一过程呢？能不能写一段代码？

李明: 好的，我们来看一个简单的Spring Boot项目，展示如何实现基于JWT的统一身份认证。

张伟: 太好了，那这段代码是怎样的？

李明: 我们先创建一个Spring Boot项目，添加以下依赖：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jwt-api</artifactId>
            <version>0.11.5</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jwt-impl</artifactId>
            <version>0.11.5</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jwt-jackson</artifactId>
            <version>0.11.5</version>
        </dependency>
    

张伟: 看起来挺复杂的，不过应该能运行吧？

李明: 是的，接下来我们定义一个JWT工具类，用来生成和解析令牌。

张伟: 请给我看看这段代码。

李明: 这是一个简单的JWT工具类，用于生成和验证令牌：

        package com.example.auth.utils;

        import io.jsonwebtoken.Claims;
        import io.jsonwebtoken.Jwts;
        import io.jsonwebtoken.SignatureAlgorithm;
        import io.jsonwebtoken.security.Keys;
        import java.security.Key;
        import java.util.Date;

        public class JwtUtil {
            private static final Key SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256);
            private static final long EXPIRATION_TIME = 86400000; // 24小时

            public static String generateToken(String username) {
                return Jwts.builder()
                        .setSubject(username)
                        .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                        .signWith(SECRET_KEY)
                        .compact();
            }

            public static String getUsernameFromToken(String token) {
                Claims claims = Jwts.parserBuilder()
                        .setSigningKey(SECRET_KEY)
                        .build()
                        .parseClaimsJws(token)
                        .getBody();
                return claims.getSubject();
            }
        }
    

张伟: 这个代码看起来很基础，但是能工作吗？

李明: 是的，它能够生成一个带有用户名和过期时间的JWT令牌。接下来我们创建一个登录接口，当用户输入正确的用户名和密码时，返回这个令牌。

张伟: 那登录接口的代码是怎样的？

李明: 我们可以这样写一个Controller：

        package com.example.auth.controller;

        import com.example.auth.utils.JwtUtil;
        import org.springframework.web.bind.annotation.PostMapping;
        import org.springframework.web.bind.annotation.RequestBody;
        import org.springframework.web.bind.annotation.RestController;

        import java.util.HashMap;
        import java.util.Map;

        @RestController
        public class AuthController {

            @PostMapping("/login")
            public Map login(@RequestBody LoginRequest request) {
                // 模拟校验逻辑，实际应连接数据库
                if ("admin".equals(request.getUsername()) && "123456".equals(request.getPassword())) {
                    String token = JwtUtil.generateToken(request.getUsername());
                    Map response = new HashMap<>();
                    response.put("token", token);
                    return response;
                } else {
                    return null;
                }
            }
        }

        class LoginRequest {
            private String username;
            private String password;

            // getters and setters
        }
    

张伟: 这个登录接口看起来没问题，但如何在其他系统中使用这个令牌呢？

李明: 其他系统可以通过HTTP请求携带这个令牌进行验证。例如，在访问某个受保护的API时，需要在Header中带上Authorization: Bearer [token]。

张伟: 那这些系统如何验证令牌的有效性呢？

李明: 可以在每个系统中添加一个拦截器，检查请求头中的令牌，并调用JwtUtil的getUsernameFromToken方法来验证。如果验证失败，就返回401错误。

张伟: 这样就能实现统一身份认证了？

李明: 是的，这就是统一身份认证的核心思想。用户只需一次登录，即可访问所有集成该系统的资源。

张伟: 但是，如果多个系统使用不同的密钥怎么办？会不会导致令牌无法跨系统使用？

李明: 这是个好问题。在实际应用中，所有的系统都应使用同一个密钥来生成和验证令牌，这样才能保证令牌在不同系统之间有效。

张伟: 那么，理工大学的系统是如何确保安全性的？

李明: 安全性是关键。除了使用JWT之外，还应结合HTTPS、防止CSRF攻击、限制令牌有效期、定期更换密钥等措施。

张伟: 如果用户忘记密码怎么办？

李明: 一般会有密码找回功能，通过邮箱或手机验证码重置密码。同时，系统还可以记录用户登录行为，发现异常时及时通知。

张伟: 那么，这种统一身份认证是否适用于所有高校？

李明: 是的，只要系统支持，就可以实现。很多高校已经采用了类似的方案，比如清华大学、上海交通大学等，它们都通过统一身份认证提升了用户体验和系统安全性。

张伟: 非常感谢，李老师，我学到了很多关于统一身份认证的知识。

李明: 不客气，如果你有兴趣，可以尝试自己搭建一个简单的系统来练习。

张伟: 一定会的，谢谢您！