需求
多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。
A网站和B网站是同一家公司的关联服务。现在要求，用户只要在其中一个网站登录，再访问另一个网站就会自动登录，请问怎么实现？
涉及到的关键点
这里就涉及到了跨域认证以及前端页面JavaScript跨域问题
一、跨域认证问题
互联网服务离不开用户认证。一般流程是下面这样。用户向服务器发送账户和密码服务器验证通过后，在当前会话（session）里保存相关数据，如用户角色、用户ID等服务器向用户返回一个session_id，写入用户cookie用户之后的每一次请求，都会通过Cookie将session_id传回服务器服务器收到session_id，找到之前存储的数据，由此得知用户身份下面以登录A站点访问B站点为例
方案一、session持久化
将session数据持久化，写入数据库或别的持久层。各种服务受到请求后，都向持久层请求数据。
这种方案，对于各种系统的代码改动量少，只要在权限验证的地方进行判断即可。
A登录成功代码登录成功后，将session存储到Redis持久化存储，注意设置有效期tip：edis以层级形式、目录形式保存数据，最大四级，格式如下：set(dir
irir:key,value);
登录成功后访问B,B进行用户身份认证
注意此时访问B的链接URL要携带参数sessionid！
B在处理请求-身份验证时，先解析是否携带了sessionid参数，携带了则向redis中查询相关数据，并将数据保存到当前会话中。此时就成功登录B了。
方案二：JWT（JSONWebToken）
服务器索性不保存session数据了，「用户数据」加密保存到「客户端」，每次请求都将数据发回服务器，服务器再进行解析得到用户身份信息数据。JWT就是这种方案的一个代表。
JWT原理
服务器认证后，生成一个JSON对象，发回给用户，就像下面这样。
以后，用户与服务端通信的时候，都要发回这个JSON对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名（详见后文）。
服务器就不保存任何session数据了，也就是说，服务器变成无状态了，从而比较容易实现扩展。
JWT的数据结构
它是一个很长的字符串，中间用点（.）分隔成三个部分。注意，JWT内部是没有换行的，这里只是为了便于展示，将它写成了几行。
JWT的三个部分依次如下。
Header（头部）Payload（负载）Signature（签名）写成一行，就是下面的样子。Header.Payload.Signature
Header
Header部分是一个JSON对象，描述JWT的元数据，通常是下面的样子。
上面代码中，alg属性表示签名的算法（algorithm），默认是HMACSHA（写成HS）；typ属性表示这个令牌（token）的类型（type），JWT令牌统一写为JWT。
最后，将上面的JSON对象使用Base64URL算法（详见后文）转成字符串。
Payload
Payload部分也是一个JSON对象，用来存放实际需要传递的数据。JWT规定了7个官方字段，供选用。
iss(issuer)：签发人exp(expirationtime)：过期时间sub(subject)：主题aud(audience)：受众nbf(NotBefore)：生效时间iat(IssuedAt)：签发时间jti(JWTID)：编号除了官方字段，你还可以在这个部分定义私有字段，下面就是一个例子。
注意，JWT默认是不加密的，任何人都可以读到，所以不要把秘密信息放在这个部分。
这个JSON对象也要使用Base64URL算法转成字符串。
Signature
Signature部分是对前两部分的签名，防止数据篡改。
首先，需要指定一个密钥（secret）。这个密钥只有服务器才知道，不能泄露给用户。然后，使用Header里面指定的签名算法（默认是HMACSHA），按照下面的公式产生签名。
算出签名以后，把Header、Payload、Signature三个部分拼成一个字符串，每个部分之间用点（.）分隔，就可以返回给用户。
Base64URL
前面提到，Header和Payload串型化的算法是Base64URL。这个算法跟Base64算法基本类似，但有一些小的不同。
JWT作为一个令牌（token），有些场合可能会放到URL（比如api.example.
