董云舟1. 为什么企业级系统需要单点登录解决方案
在数字化转型浪潮下，企业内部系统数量呈现爆发式增长。以典型的中型企业为例，可能同时运行着OA系统、CRM、ERP、BI平台等多个业务系统。传统模式下，员工需要记忆多套账号密码，不仅降低工作效率，更带来严重的安全隐患：
- 密码疲劳导致简单密码重复使用
- 离职员工账号难以及时回收
- 各系统独立认证造成审计困难
单点登录（SSO）技术通过统一认证中心解决这些问题。当用户首次登录后，即可无缝访问所有互信系统，无需重复认证。根据Gartner调研，实施SSO的企业用户登录耗时平均减少70%，IT支持成本降低45%。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Jeecgboot与Maxkey技术栈深度解析
2.1 Jeecgboot的技术定位
作为基于Spring Boot的低代码开发平台，Jeecgboot最新3.0版本已支持：
- 前后端分离架构（Vue3+Ant Design）
- 代码生成器效率提升300%
- 内置工作流引擎（Flowable）
- 多租户SaaS支持
其插件化架构特别适合快速构建中后台管理系统，但原生认证模块仅支持基础账号体系。
2.2 Maxkey的核心能力
作为国产开源SSO解决方案，Maxkey具有以下技术特性：
- 支持OAuth 2.0/OpenID Connect/SAML 2.0协议
- 提供标准的CAS服务端实现
- 内置LDAP/Active Directory连接器
- 支持多因素认证（短信/OTP）
- 可视化权限管理界面
其轻量级架构（核心jar仅15MB）特别适合与Java生态集成。最新1.2.3版本新增了JustAuth组件，可快速对接微信、钉钉等第三方登录。
3. 集成方案设计与环境准备
3.1 系统拓扑架构设计
推荐采用以下生产级部署方案：
code复制[用户浏览器]
↓ HTTPS
[Nginx反向代理]
↓ 负载均衡
[Jeecgboot应用集群] ←→ [Redis会话中心]
↓ OAuth2协议
[Maxkey服务集群] ←→ [MySQL主从数据库]
3.2 关键组件版本要求
- Jeecgboot ≥ 3.4.1（需启用OAuth2客户端支持）
- Maxkey ≥ 1.2.3
- JDK 11+（建议Amazon Corretto）
- Redis 6.x（集群模式）
- MySQL 8.0（需配置utf8mb4字符集）
重要提示：避免使用Spring Boot 2.7.x与Maxkey的组合，已知存在Cookie路径冲突问题。
4. 分步骤集成实施指南
4.1 Maxkey服务端配置
- 下载并解压Maxkey：
bash复制wget https://gitee.com/dromara/MaxKey/raw/master/maxkey-server-standalone-1.2.3.zip
unzip maxkey-server-standalone-1.2.3.zip -d /opt/
- 修改数据库配置：
properties复制# /opt/maxkey/conf/application.properties
spring.datasource.url=jdbc:mysql://127.0.0.1:3306/maxkey?useSSL=false
spring.datasource.username=maxkey
spring.datasource.password=YourStrongPassword@123
- 初始化数据库：
sql复制CREATE DATABASE maxkey CHARACTER SET utf8mb4;
GRANT ALL ON maxkey.* TO 'maxkey'@'%' IDENTIFIED BY 'YourStrongPassword@123';
- 启动服务：
bash复制cd /opt/maxkey/bin
./startup.sh
4.2 Jeecgboot客户端改造
- 添加Maven依赖：
xml复制<!-- pom.xml -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
- 配置OAuth2客户端：
yaml复制# application.yml
spring:
security:
oauth2:
client:
registration:
maxkey:
client-id: jeecgboot-client
client-secret: jeecg@2023
authorization-grant-type: authorization_code
redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
scope: user_info
provider:
maxkey:
issuer-uri: http://maxkey.example.com:8080/maxkey/
- 修改安全配置类：
java复制@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/oauth2/**").permitAll()
.anyRequest().authenticated()
.and()
.oauth2Login()
.loginPage("/oauth2/authorization/maxkey")
.defaultSuccessUrl("/");
}
}
5. 生产环境关键调优参数
5.1 会话超时设置
properties复制# Maxkey服务端配置
server.servlet.session.timeout=7200s
sso.server.token.validity=14400
# Jeecgboot客户端配置
server.servlet.session.timeout=3600s
spring.session.redis.flush-mode=on_save
5.2 集群部署注意事项
- Redis共享会话配置：
yaml复制spring:
session:
store-type: redis
redis:
namespace: spring:session:jeecgboot
flush-mode: on_save
- Nginx负载均衡示例：
nginx复制upstream maxkey {
server 192.168.1.101:8080;
server 192.168.1.102:8080;
sticky cookie srv_id expires=1h domain=.example.com path=/;
}
server {
listen 443 ssl;
server_name sso.example.com;
location / {
proxy_pass http://maxkey;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
6. 常见问题排查手册
6.1 登录循环重定向问题
典型现象：用户在Maxkey登录后，Jeecgboot反复跳转登录页面。
排查步骤：
- 检查浏览器开发者工具中的Network请求，确认OAuth2回调URL是否包含正确参数
- 验证Jeecgboot的
redirect-uri配置是否与Maxkey控制台登记的完全一致 - 检查Redis中是否存在会话冲突（特别是多实例部署时）
6.2 用户属性映射异常
当用户登录后显示错误身份时，需要：
-
在Maxkey管理界面确认用户属性配置：
code复制用户管理 → 属性映射 → 添加字段映射 username → preferred_username realname → name -
Jeecgboot中增加属性转换：
java复制@Controller
public class OAuth2UserController {
@GetMapping("/user")
@ResponseBody
public Map<String, Object> user(@AuthenticationPrincipal OAuth2User user) {
return Map.of(
"username", user.getAttribute("preferred_username"),
"realname", user.getAttribute("name")
);
}
}
7. 安全加固建议
-
通信安全：
- 强制HTTPS协议（包括回调地址）
- 配置HSTS响应头
nginx复制add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"; -
风险防控：
- 启用CSRF保护（Spring Security默认开启）
- 配置登录失败锁定策略
properties复制# Maxkey配置 security.login.failure.lock.count=5 security.login.failure.lock.time=300 -
审计日志：
- 开启Maxkey操作审计
properties复制logging.level.org.maxkey=DEBUG- Jeecgboot集成Logstash
xml复制<dependency> <groupId>net.logstash.logback</groupId> <artifactId>logstash-logback-encoder</artifactId> <version>7.2</version> </dependency>
在实际部署中，我们发现当用户量超过5000时，建议对MySQL的maxkey_oauth_access_token表进行分表处理。可通过以下SQL按月自动分表：
sql复制CREATE EVENT auto_partition
ON SCHEDULE EVERY 1 MONTH
DO
BEGIN
SET @next_table = CONCAT('maxkey_oauth_access_token_', DATE_FORMAT(DATE_ADD(NOW(), INTERVAL 1 MONTH), '%Y%m'));
SET @sql = CONCAT('CREATE TABLE IF NOT EXISTS ', @next_table, ' LIKE maxkey_oauth_access_token');
PREPARE stmt FROM @sql;
EXECUTE stmt;
END