单系统登录机制中，web应用采用的是browser/server架构，浏览器的每一次请求，服务器都会独立处理，不与之前或之后的请求产生关联，既然http无协议状态，那么建立一个会话机制，使得服务器与浏览器共同维护一个状态
当浏览器第一次请求服务器，服务器创建一个会话，并将会话的id作为响应的一部分发送给浏览器，浏览器存储会话id，并在后续第二次和第三次请求中带上会话id，服务器取得请求中的会话id就知道是不是同一个用户了。保存会话ID依靠cookie，浏览器发送http请求时自动附带cookie信息。Tomcat会话机制也实现了cookie，访问tomcat服务器时，可以看到一个JESSIONID的cookie，tomcat在会话对象中设置登录状态如下。
httpSession session=request.getSession();
session.setAttribute(“isLogin”,true);
用户再次访问时，tomcat在会话对象中查看登录状态
httpSession session=request.getSession();
session.getAttribute(“isLogin”);
每次请求受保护资源时都会检查会话对象中的登录状态，只有 isLogin=true 的会话才能访问，登录机制因此而实现。
在复杂的多系统环境下，单点登录就很重要，单点登录是指在多系统应用群中登录一个系统，便可在其他所有系统中得到授权而无需再次登录，包括单点登录和单点注销两部分。
相比于单系统登录，sso需要一个独立的认证中心，只有认证中心能接受用户的用户名密码等安全信息，其他系统不提供登录入口，只接受认证中心的间接授权。间接授权通过令牌实现，sso认证中心验证用户的用户名密码没问题，创建授权令牌，在接下来的跳转过程中，授权令牌作为参数发送给各个子系统，子系统拿到令牌，即得到了授权，可以借此创建局部会话，局部会话登录方式与单系统的登录方式相同。这个过程，也就是单点登录的原理。
单点登录自然也要单点注销，在一个子系统中注销，所有子系统的会话都将被销毁，sso认证中心一直监听全局会话的状态，一旦全局会话销毁，监听器将通知所有注册系统执行注销操作。
Java拦截请求的方式有servlet、filter、listener三种方式，我们采用filter。在sso-client中新建LoginFilter.java类并实现Filter接口，在doFilter()方法中加入对未登录用户的拦截。
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
HttpSession session = req.getSession();
if (session.getAttribute("isLogin")) {
chain.doFilter(request, response);
return;
}
//跳转至sso认证中心
res.sendRedirect("sso-server-url-with-system-url");
}
sso-server拦截未登录请求；拦截从sso-client跳转至sso认证中心的未登录请求，跳转至登录页面，这个过程与sso-client完全一样；sso-server验证用户登录信息；用户在登录页面输入用户名密码，请求登录，sso认证中心校验用户信息，校验成功，将会话状态标记为“已登录”；sso-server创建授权令牌；授权令牌是一串随机字符，以什么样的方式生成都没有关系，只要不重复、不易伪造即可；sso-client取得令牌并校验；sso认证中心登录后，跳转回子系统并附上令牌，子系统（sso-client）取得令牌，然后去sso认证中心校验；sso-server接收并处理校验令牌请求；用户在sso认证中心登录成功后，sso-server创建授权令牌并存储该令牌，所以，sso-server对令牌的校验就是去查找这个令牌是否存在以及是否过期，令牌校验成功后sso-server将发送校验请求的系统注册到sso认证中心（就是存储起来的意思）；令牌与注册系统地址通常存储在key-value数据库（如redis）中，redis可以为key设置有效时间也就是令牌的有效期。redis运行在内存中，速度非常快，正好sso-server不需要持久化任何数据；sso-client校验令牌成功创建局部会话；用户向子系统发送带有“logout”参数的请求（注销请求），sso-client拦截器拦截该请求，向sso认证中心发起注销请求；sso认证中心也用同样的方式识别出sso-client的请求是注销请求（带有“logout”参数），sso认证中心注销全局会话；sso认证中心有一个全局会话的监听器，一旦全局会话注销，将通知所有注册系统注销。