基于单点登录的房地产税收一体化系统设计
0 引言
随着税务信息化建设的不断深入，越来越多的税收业务系统和行政办公系统被开发使用。不同系统由于开发商不同，使得开发平台、系统架构不同，又由于各系统没有统一的机构和用户管理，从而导致用户需要记忆多个系统的登录信息，登录多个系统处理待办工作事项，从而大大降低了工作效率，增加了操作复杂性[1]。SAML（Security Assertion Markup Language，安全声明标记语言）主要是为了处理Web站点间身份认证的重复使用问题。它能够为用户提供一种跨域身份认证和授权，从而免除多次认证的麻烦，提高工作效率[2]。基于以上分析，本文试图设计一个SMAL单点登录的房地产税收一体化系统。
1 基于SAML的税收一体化系统单点登录模型设计
基于SAML的单点登录系统主要由三个实体组成，分别是门户，单点登录服务端和服务提供端[3-4]。整个系统的框架结构及功能模块间的相互关系如图1所示。
图1 基于SAML的税收一体化系统单点登录模型体系结构图
①单点登录服务器端。单点登录服务器端用来验证用户身份的有效性。如果有效，生成SAML认证断言和断言令牌，对其进行签名与加密，返回单点登录门户安全的SAML认证断言。
②单点登录门户。主要功能为获得用户信息，并将这些信息发送到单点登录服务器端进行验证，在服务端返回用户的断言后，门户添加必要的标识信息，经过加密和签名后向服务提供端请求服务。同时单点登录门户提供对资源的管理和配置，还可以通过配置启动本地的C/S服务。
③服务提供端。负责验证SAML认证断言的可用性、有效性以及来源的合法性，对SAML认证断言进行解析，根据SAML认证断言中的认证安全信息为主体在服务提供站点建立成功登录会话并根据用户权限提供相应的服务。也可根据SAML认证断言中的主体身份信息，实现基于角色的访问控制。对已通过认证并且具有访问权限的主体提供WEB服务调用。
2 基于SAML的税收一体化系统单点登录模型实现方案
2.1 实现方式
本文选择SAML的Browser/Artifact方式实现单点登录，SAML的单点登录实现具体包括以下五步骤。
①第一步：税务办公人员在浏览器端（大集中系统）登录发送身份认证请求。
②第二步：大集中系统在接收源站点发送而来的身份认证请求后立即采取行动，即创建对应的SAML断言并且进行保存，紧接着为SAML生成长度不能改变的Artifact，并且将应答消息发送给税务办公人员。
③第三步：税务工作人员访问目的站点房地产一体化系统，URL的<searchpart>主要包括三个部分，分别是房地产一体化系统站点、目标资源以及Artifact，一般情况下都是采用HTTP/SSL进行访问。
④第四步：房地产一体化系统站点在收到的Artifact之后立即向源站点请求相关的SAML断言。大集中系统站点此时需要做出的处理是根据Artifact向房地产一体化系统发送回复其请求的断言。
⑤第五步：目的站点依据收到的断言进行判断后，发送给税务办公人员的授权应答消息（即，允许访问还是拒绝访问的）。
2.2 系统账号传递机制――主从账号管理
单点登录系统的用户信息数据独立于各应用系统，形成统一的用户唯一ID，并将其作为用户的主账号[5]。其具体的管理过程：首先，在通过认证后，可以从登录认证结果中获取平台用户唯一ID（主账号）;其次，由用户唯一ID关联到各个应用系统的用户账号（从账号）;最后再用关联后的应用系统的用户账号访问对应的应用系统。
当增加一个应用系统时，只需要增加用户唯一ID（主账号）与该应用系统账号（从账号）的一个关联信息即可，不会影响其它应用系统。同时通过安全通道来保证单点登录过程中数据传输的安全。
3 结束语
本文分析了SAML单点登录技术的优点，结合地税信息系统建设现状，设计并实现了基于SAML技术的房地产税收一体化系统的单点登录模型。下一阶段我们的工作重点是进一步完善房地产税收一体化系统的开发，并进行系统测试和运用到实际工作中去。
