Domino系统单点登录：LTPAToken生成与应用集成方法

本文主要探讨了如何通过Lotus Domino服务器实现与其他系统的单点登录（Single Sign-On, SSO）功能，特别关注的是基于LTPA Token（Lightweight Third-Party Authentication Token）的机制。LTPA Token在DOMINO单点登录过程中起着核心作用，它简化了用户的认证流程，提高用户体验。 在实现原理方面，以下步骤是关键： 1. 用户首先已经在统一身份管理（Identity Management, IDM）系统或门户完成登录，例如使用用户名"admin"和密码"12345678"通过URL "<http://127.0.0.1/names.nsf?login>"登录。 2. 当用户从IDM或门户点击接入应用时，由于该应用尚无会话，浏览器会被重定向至统一身份管理系统进行登录验证。 3. 统一身份管理系统检测到这个请求后，会检查用户的会话信息，然后生成一个特定的LTPA Token，并将其附加到重定向响应中，如`LtpaToken=encrypted_token; expires=date; path=/; domain=.xxx.com`。 4. 应用接收到这个Ticket（LTPA Token），即传递到DOMINO服务器进行验证。DOMINO服务器使用接收到的Token，通过Domino密钥对Token进行解密，获取用户信息，并在服务器端创建一个新的会话。 具体实现过程包括以下几个步骤： - 在DOMINO服务器上，需要配置登录表单（$$LoginUserForm），添加域username字段和用于触发SSO操作的登录按钮，其值设置为`fnSSO()`。同时，在表单的JavaScript（JS）代码中定义`fnSSO`函数，用于处理用户输入验证和发起LTPA Token的请求。 - 当用户尝试访问应用时，如果未携带会话，JS函数首先检查用户名是否为空。若为空，则给出提示并聚焦于输入框，防止无效操作。 - 使用XMLHttpRequest对象（ActiveXObject在IE浏览器中）发送POST请求到DOMINO服务器，提交用户名等必要信息，触发SSO流程。 - DOMINO服务器根据接收到的用户名、登录时间和过期时间以及预设的Domino密钥，生成加密的LTPA Token，并将其写入cookie，有效期与配置一致。 - 最终，应用中的用户无需再次输入用户名和密码，即可通过LTPA Token的验证，实现与DOMINO系统的无缝单点登录。 总结来说，通过利用LTPA Token的加密机制，DOMINO服务器与外部系统实现了安全且便捷的单点登录流程，提升了系统之间的互操作性和用户体验。