2024年4月1日发(作者：)

维普资讯

第６卷第４期　

。。。。。　０００００‘　。。。－・●。。。。。。。。＿＿＿＿＿＿＿。●＿。＿。＿＿＿＿＿－－。＿＿。＿＿＿＿＿＿－

。　＿＿。．．＿＿＿＿＿－＿。－＿＿＿＿＿＿＿＿＿＿　——

南京师范大学学报（工程技术版）　

ＪＯＵＲＮＡＬ　ＯＦ　ＮＡＮＪＩＮＧ　ＮＯＲＭＡＬ　ＵＮＩＶＥＲＳＩＴＹ（ＥＮＧＩＮＥＥＲＩＮＧ　ＡＮＤ　ＴＥＣＨＮＯＬＯＧＹ　ＥＤＩＴＩＯＮ）

——　＿＿＿＿＿＿－——————————＿Ｊ——————　

Ｖｏ１

６　Ｎ０，４　

．

Ｄｅｃ

２００６　

，

，　

ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ在多目录环境下　

单点登录的实现　

袁桂霞，杨季文　

（苏州大学计算机科学与技术学院，江苏苏州２１５００６）　

［摘要］　实现ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ的单点登录，可以有效地简化用户的使用难度和管理的复杂程度．简要介绍了在单目　

录条件下实现ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ单点登录的基本原理，讨论了企业多目录和多用户身份的实际情况，分析了由此产生的　

单点登录问题，探讨了ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ分别采用第三方ＬＤＡＰ的可能性与解决多目录问题的方法．并结合实例分析了　

多用户身份情况下单点登录失败的主要原因，利用“名称映射”方法解决Ｔ￣ｆｆＪＰ身份情况单点登录的难题．在某企业的实　

际应用表明该方法具有可行性．　

［关键词］　单点登录，多目录环境，ＷｅｂＳｐｈｅｒｅ，Ｌｏｔｕ８　Ｄｏｍｉｎ０　

［中图分类号］ＴＰ３９３［文献标识码］Ｂ　［文章编号］１６７２．１２９２（２００６）０４－００７５－０４　

Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　ＳＳＯ　Ｂｅｔｗｅｅｎ　ＷｅｂＳｐｈｅｒｅ　ａｎｄ　Ｄｏｍｉｎｏ　

ｉｎ　Ｍｕｌｔｉ－Ｄｉｒｅｃｔｏｒｙ　Ｅｎｖｉｒｏｎｍｅｎｔ　

ＹＵＡＮ　Ｇｕｉｘｉａ，ＹＡＮＧ　Ｊｉｗｅｎ　

（Ｓｃｈｏｏｌ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｏｏｅｈｏｗ　Ｕｎｉｖｅｒｓｉｔｙ，Ｓｕｚｈｏｕ　２１５００６，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｓｉｎｇｌｅ　Ｓｉｇｎ—－ｏｎ　ｂｅｔｗｅｅｎ　ＷｅｂＳｐｈｅｒｅ　ａｎｄ　Ｄｏｍｉｎｏ　ｃａｎ　ｌｅｓｓｅｎ　ｄｉｆｆｉｃｕｌｔｙ　ｆｏｒ　ｕｓｅｒｓ　ａｎｄ　ｃｏｍｐｌｅｘｉｔｙ　ｆｏｒ　ｍａｎａｇｅ－－　

ｍｅｎｔ．Ｔｈｉｓ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｐｒｉｎｃｉｐｌｅ　ｏｆ　Ｓｉｎｇｌｅ　Ｓｉｇｎ—ｏｎ　ｂｅｔｗｅｅｎ　ＷｅｂＳｐｈｅｒｅ　ａｎｄ　Ｄｏｍｉｎｏ　ｉｎ　ａ　ｓｉｎｇｌｅ　ｄｉｒｅｃｔｏｒｙ。ａｎ—　

ａｌｙｓｅｓ　ｔｈｅ　ｍａｊｏｒ　ｐｒｏｂｌｅｍ　ｏｆ　Ｓｉｎｇｌｅ　Ｓｉｇｎ—ｏｎ　ｗｈｉｃｈ　ｉｓ　ｃａｕｓｅｄ　ｂｙ　ｍｕｌｔｉ－ｄｉｒｅｃｔｏｒｙ　ａｎｄ　ｍｕｌｔｉ—ｉｄｅｎｔｉｔｙ　ｉｎ　ｔｈｅ　ｅｎｔｅｒｐｒｉｓｅ，　

ｓｔｕｄｙｉｅｓ　ｔｈｅ　ｐｏｓｓｉｂｉｌｉｔｙ　ｏｆ　ＷｅｂＳｐｈｅｒｅ　ａｎｄ　Ｄｏｍｉｎｏ　ｕｓｉｎｇ　ｔｈｅ　ｔｈｉｒｄ　ｐａｒｔｙ　ＬＤＡＰ　ａｎｄ　ｓｔｕｄｉｅｓ　ｈｏｗ　ｔｏ　ｓｅｔｔｌｅ　ｔｈｅ　ｐｒｏｂｌｅｍ　ｏｆ　

ｍｕｌｔｉ－ｄｉｅｃｔｒｏｒｙ．Ｉｔ　ａｎａｌｙｓｅｓ　ｔｈｅ　ｒｅａｌ　ｍａｓｏｎ　ｏｆ　ｔｈｅ　ｆａｉｌｕｒｅ　ｏｆ　Ｓｉｎｇｌｅ　Ｓｉｇｎ—ｏｎ　ｂａｓｅｄ　ｏｎ　ｅｘａｍｐｌｅｓ　ａｎｄ　ｓｅｔｔｌｅｓ　ｔｈｅ　ｐｒｏｂｌｅｍ　

ｏｆ　Ｓｉｎｇｌｅ　Ｓｉｇｎ—ｏｎ　ｂｙ‘ｎａｍｅ　ｍａｐｐｉｎｇ’ｉｎ　ｔｈｅ　ｃａｓｅ　ｏｆ　ｍｕｌｔｉ－ｉｄｅｎｔｉｔｙ．Ｔｈｅ　ｐｏｓｓｉｂｉｌｉｔｙ　ｏｆ　ｔｈｅ　ｍｅｔｈｏｄ　ｈａｓ　ｂｅｅｎ　ｖａｌｉｄａｔｅｄ　

ｂｙ　ｔｈｅ　ａｃｔｕａｌ　ａｐｐｌｉｃａｔｉｏｎ　ｉｎ　ａｎ　ｅｎｔｅｒｐｒｉｓｅ．　

Ｋｅｙ　ｗｏｒｄｓ：Ｓｉｎｇｌｅ　Ｓｉｇｎ—ｏｎ，ｍｕｌｔｉ—ｄｉｒｅｃｔｏｒｙ，ｗｅｂＳｐｈｅｒｅ，ｌｏｔｕｓ　ｄｏｍｉｎｏ　

０引言　

ＷｅｂＳｐｈｅｒｅ是ＩＢＭ公司优秀的企业级软件平台，提供了包括应用服务器、企业门户、无线应用、业务整　

合等多个方面的产品，是Ｊ２ＥＥ技术路线中优秀的企业应用平台．ＷｅｂＳｐｈｅｒｅ　Ａｐｐｌｉｃａｔｉｏｎ　Ｓｅｒｖｅｒ是核心Ｗｅｂ　

服务和Ｊ２ＥＥ认证的应用程序服务器，它启用了业界领先的服务质量和一系列灵活的部署配置来满足单　

机的、多服务器分布式的和高度动态的非集中分布式企业环境的需要…．　

Ｌｏｔｕｓ　Ｄｏｍｉｎｏ是一套得到广泛应用的群件系统，它集成了多项高尖端技术，包括通讯（Ｃｏｍｍｕｎｉｃａ—　

ｔｉｏｎ）、群件合作（Ｃｏｌｌａｂｏｒａｔｉｏｎ）和对等协调（Ｃｏｏｒｄｉｎａｔｉｏｎ）这３大支柱功能　．Ｌｏｕｔｓ　Ｄｏｍｉｎｏ可以作为优秀　

的基础通信平台，提供企业级邮件、目录服务，可以作为基础工作流引擎，与Ｌｏｔｕｓ　ＱｕｉｃｋＰｌａｃｅ、Ｄｏｍｉｎｏ　

Ｗｏｒｋｆｌｏｗ等系统协同工作，高效灵活地制定工作流．　

ＷｅｂＳｐｈｅｒｅ是一个建立、管理并配置Ｗｅｂ应用的大型软件产品，可以配置和管理从简单Ｗｅｂ站点直　

至基于ｗｅｂ复杂的企业业务和电子商务系统．它侧重于对结构化数据的管理和电子商务的业务处理．而　

收稿日期：２００６－０７－２０．　

作者简介：袁桂霞（１９７８一），女，硕士研究生，助教，主要从事中文信息处理、远程教育等方面的教学与研究．Ｅ—ｍａｉｌ：ｙｕａｎｇｘ＠ｊ８ｔｖｕ．ｅｄｕ．ｃｎ　

通讯联系人：杨季文（１９６３－），教授。主要从事中文信息处理等方面的教学与研究．Ｅ—ｍａｉｌ：ｊｗｙａｎｇ＠ｓｕｄａ．ｅｄｕ．ｃｎ　

一

７５—　

维普资讯

南京师范大学学报（工程技术版）　第６卷第４期（２００６年）　

ＬｔＯｕ　Ｄｏｍｉ　０作为企业级通讯和Ｗｅｂ开发平台，具有强大的集成、协作、消息传递和工作流等功能，它侧重　

于通过文档型数据库获取半结构化和非结构化数据，在电子政务、办公自动化等领域应用广泛．企业常常　

通过集成这两者的优势功能，把ＷｅｂＳｐｈｅｒｅ强劲的事务处理能力与Ｄｏｍｉｎ０领先的协作功能紧密集成，为　

企业提供强大、稳定而全面的信息平台．　

１　问题的提出与初步解决　

由于Ｗ　ｂＳｐｈ　ｒｅ和Ｄｏｍｉｎ０的强大功能，企业中存在众多基于此的应用系统．如基于Ｄｏｍｉｎｏ开发的邮　

件系统、ＯＡ系统，基于ｗｅｂｓｐｈｅｒｅ开发的电子商务系统、企业门户系统等．在这种情况下，一般每个应用系　

统都有安全认证系统，常采用独立的用户认证模块，在各自的数据库中进行用户认证．但这种用户认证模　

式特别是较多系统同时使用时存在诸多不足之处　：用户需要记忆多个系统用户名和密码；各系统均需　

要存储用户信息，造成大量数据冗余；每个系统均需开发用户认证模块，重复开发且重用率低．在这种情况　

下，使用单点登录（Ｓｉｎｇｌｅ　Ｓｉｇｎ．ｏｎ，ＳＳＯ）技术便可解决上述问题．所谓单点登录，意味着当用户从・个应用　

程序切换到另一个应用程序时，不再被提示要求输入用户名和密码（或证书），而这些应用程序可以放置　

在一个或者多个服务器上　］．简言之，用户只需要在某个网络域中进行一次身份认证，随后该用户便可访　

问该域中被授权的所有网络资源，而不需要再次主动或被动地参与身份认证的过程．相对于传统的用户登　

录方式，单点登录的益处是显而易见的：用户仅需记忆一个用户名密码，一次登录全网漫游；减轻了系统数　

据冗余和管理员管理工作量；多个系统可重复使用登录模块，既减轻开发工作量叉切实提高了系统的安全　

性．　

ＷｅｂＳｐｈｅｒｅ和Ｌｏｔｕｓ　Ｄｏｍｉｎｏ之间的单点登录是通过一种称为轻量级第三方认证（Ｌｉｇｈｔｗｅｉｇｈｔ　Ｔｈｉｒｄ　

Ｐａｒｔｙ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，ＬＴＰＡ）的机制来实现的．ＬＴＰＡ是一种应用在ＷｅｂＳｐｈｅｒｅ和Ｌｏｔｕｓ　Ｄｏｍｉｎｏ以及其他　

ＩＢＭ系列产品的认证技术　］，一般ＬＴＰＡ在ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ　Ｄｉｒｅｃｔｏｒｙ　Ａｃｃｅｓｓ　Ｐｒｏｔｏｃｏｌ轻量级目录访问协　

议）支持下，采用Ｄｏｍａｉｎ　ｃｏｏｋｉｅ方式实现．当用户第一次访问ＷｅｂＳｐｈｅｒｅ或者Ｄｏｍｉｎｏ的受限资源时，服务　

器要求用户输入用户名和密码．系统在ＬＤＡＰ服务器中进行搜索，若验证成功，则服务器返回一个ｃｏｏｋｉｅ，　

该ｃｏｏｋｉｅ中除了含有一般ｃｏｏｋｉｅ都包含的名称、到期时间、所属域、传输加密协议外，在ｃｏｏｋｉｅ值部分存储　

了加密的ＬＴＰＡ标记．ＬＴＰＡ标记中包含了唯一标识用户ＩＤ信息、强制的ＬＴＰＡ过期时间和用于确认标记　

的数字签名，结构如图１所示．　

名　到期　所属　ＳＳＬ　ＬＴＰＡ标记（加密信息）　

称　时间　域　传输　用户ＩＤ　强制过期时间　数字签名　

圈１含有ＬＴＰＡ加密信息的ｃｏｏｋｉｅ　

当再次访问同一域中的其它服务器的受限制信息时，浏览器将向服务器发送含有加密ＬＴＰＡ标记的　

ｃｏｏｋｉｅ．服务器对加密的ＬＴＰＡ标记进行解密，若ＬＴＰＡ标记中表明用户已经通过认证，则省略验证过程，从　

而实现在ＷｅｂＳｐｈｅｒｅ、Ｌｏｔｕｓ　Ｄｏｍｉｎｏ或其它ＩＢＭ产品之间的单点登录．　

２多目录环境下的单点登录实现　

利用上面介绍的单点登录方式，可以在理想的单目录环　

境下（即利用Ｄｏｍｉｎｏ提供ＬＤＡＰ服务）对两者设置单点登　

录．基本步骤是在ＷｅｂＳｐｈｅｒｅ　Ａｐｐ　Ｓｅｒｖｅｒ设置ＬＤＡＰ和ＬＴ．　

ＰＡ，并启用全局安全性，导出ＬＴＡＰ密钥．在Ｄｏｍｉｎｏ中设置　

服务器文档，确定单点登录域，并导入ＬＴＰＡ密钥　．利用　

Ｄｏｍｉｎｏ提供ＬＤＡＰ服务的原理如图２所示．　

尽管企业的最终目标是建立一个统一的包含所有企业　

用户以及相关资源的单一目录，但在实际情况下，企业可能　

会拥有至少两个甚至更多的目录．造成这种情况最主要的原　

一

图２单目录环境下的单点登隶实现机制　

７６一　

维普资讯

袁桂霞，等：ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ在多目录环境下单点登录的实现　

因是，企业的不同应用系统有不同的目录要求．如ＩＢＭ产品常默　

认集成ＩＢＭ　Ｄｉｒｅｃｔｏｒｙ　Ｓｅｒｖｅｒ，而微软公司则在微软产品支持的系　

统和企业域管理中应用Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｒｙ．而在大中型企业中，Ｌｏ．　

ｔｕｓ　Ｄｏｍｉｎｏ常常是企业级别邮件系统的首选工具，在院校科研机　

构还经常使用开源的目录产品如ＯｐｅｎＬＤＡＰ等．在多目录并存　

的情况下，Ｄｏｍｉｎｏ一般仅处于邮件服务器或Ｗｅｂ服务器的角　

色，企业的基础目录服务器由非Ｄｏｍｉｎｏ的其它ＬＤＡＰ服务器承　

担．相比于理想的单目录情况，多目录情况下对ＷｅｂＳｐｈｅｒｅ和　

Ｄｏｍｉｎｏ单点登录的难度更大，同时也更加具有实用意义．多目录　

环境下，一般会将ＷｅｂＳｐｈｅｒｅ与Ｄｏｍｉｎｏ设置成共同使用第三方　

ＬＤＡＰ实现单点登录，其原理如图３所示．　

圈３　多目录环境下的单点登景实现机制　

（１）ＷｅｂＳｐｈｅｒｅ对非Ｄｏｍｉｎｏ目录服务器的支持．ＷｅｂＳｐｈｅｒｅ对于目录服务的支持程度较高，符合　

ＬＤＡＰ标准的目录服务器均可直接配置，如ＩＢＭ的ＩＢＭ　Ｄｉｒｅｃｔｏｒｙ　Ｓｅｒｖｅｌ、Ｍｉｃｒｏｓｏｆｔ的Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｙ等，ｒ配　

置界面如图４所示．　

（２）Ｄｏｍｉｎｏ对第三方ＬＤＡＰ目录服务的支持．Ｄｏｍｉｎｏ除自身可提供ＬＤＡＰ服务，同时也可通过建立　

并配置Ｄｉｒｅｃｔｏｒｙ　Ａｓｓｉｓｔａｎｃｅ数据库，利用第三方的ＬＤＡＰ进行用户身份认证，基本步骤为：　

①建立一个以ｄａ５０．ｎｔｆ为模板的数据库，如ｄａ．ｎｓｆ．　

②在ｄａ．ｎｓｆ数据库中增加一个Ｄｉｒｅｃｔｏｒｙ　Ａｓｓｉｓｔａｎｃｅ条目并进行相关配置，如图５所示．　

③在ｎａｍｅｓ．ｎｓｆ的用户目录中加上ｄａ．ｎｓｆ数据库，并进行配置．　

阻　Ｊ

蔗￣１－１１用产拇坍　

艉－薯用产密珥　

∞ｆ‘ｗ器鲥ｎ　，ｏｕ－　Ｉ。　ｎ口　ｄｅ－ｓｏｍ　

定ｆ＿Ｉ　ｌ　

１　｛　

ｊ　

ｅｔ　．ｊＤｅ　

籀臻５　竹用　

田与晨鲁　拇　相应的密珥。　

Ⅲ叠　矗的Ｌｎ＾Ｐ曩’量柏典越．　

匝柑窟Ｌｏ＾Ｐ■●●童机毒．　

∞措麾　晨●■■口．　

主机　

簟口　

ｍｅＷ　

Ｉ　恤ｅｃ　、　

●｜　’霄害诈（０Ｎ）　０＾ｃ　¨１ｔＤ　

Ｄｒｅｃｍ

窟●育毫件《ＯＮ）　ｄ　ｂ　ｖ　

　

ｍ　｛　

１。

ｄｃ￣￥ｏｒ　｝　

，

竿器　笛　譬　

船　嚣器哪　雠　ｎ　

田血脆序晨●一用千螂主　■ｌ喱　蝇毫密四　………■　

圈４　ＷｅｂＳｐｈｅｒｅ中设置第三方ＬＤＡＰ认证　圈５　Ｄｏｍｉｎｏ中设置第三方ＬＤＡＰ认证　

在ＷｅｂＳｐｈｅｒｅ和Ｄｏｍｉｎｏ同时设置了第三方ＬＤＡＰ，并进行ＬＴＰＡ的导入后，重启服务器，即可完成两　

者基于第三方ＬＤＡＰ的单点登录．　

３多用户身份的问题讨论　

多目录环境下可以通过启用Ｄｏｍｉｎｏ的Ｄｉ－　

ｒｅｃｔｏｙｒ　Ａｓｓｉｓｔａｎｃｅ（简称ＤＡ），利用第三方ＬＤＡＰ　

服务器为ＷｅｂＳｐｈｅｒｅ和Ｄｏｍｉｎｏ进行单点登录认　

证，但随之而来会带来一个多用户身份的问题．如　

用户张三，在微软Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｒｙ中，其身份信息　

如表１如示．　

字段　

ｄｎ　

Ｃｎ　

裹１　ＡＤ的身份信息　

值　

ｃｎ＝ｚｈａｎｇｓａｎ。ＯＵ＝Ｎａｎｊｉｎｇ，ｄｃ　ｓｏｍｅｃｏｍｐａｎｙ，ｄｃ＝ＣＯｉ＇ｌｌ　

ｚｈａｎｇｓａｎ　

裹２　Ｄｏｍｉｎｏ中的用户信息　

Ｕｓｅｒ　Ｎａｍｅ　

Ｓｈｏｒｔ　Ｎａｍｅ　

ｚｈａｎｇｓａｎ／Ｎａｎｊｉｎｇ／ｓｏｍｅｃｏｍｐａｎｙ　

ｚｈａｎｇｓａｎ　

但在Ｄｏｍｉｎｏ服务器中，对应的标识如表２所示．　

当用户ｚｈａｎｇｓａｎ首先登录基于ＷｅｂＳｐｈｅｒｅ应用时，ＷｅｂＳｐｈｅｒｅ会从ＬＤＡＰ中获取到他完整的ＤＮ，并　

建立ＩＩＴＰＡ　ｃｏｏｋｉｅ．当ｚｈａｎｇｓａｎ试图使用Ｄｏｍｉｎｏ服务器上的Ｗｅｂ应用时，由于Ｄｏｍｉｎｏ已经配置了Ｄｉｒｅｃｔｏ—　

ｙｒ　Ａｓｓｉｓｔａｎｃｅ，因此可以在Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｒｙ中检索到ｚｈａｎｇｓａｎ的信息，允许其访问Ｄｏｍｉｎｏ应用．但当ｚｈａｎｇ—　

ｓａｎ访问其在Ｄｏｍｉｎｏ服务器上的邮件文件时，问题出现了．由于邮件文件的ＡＣＬ中所列出的标识是ｚｈａｎ－　

ｇｓａｎ／Ｎａｎｊｉｎｇ／ｓｏｍｅｃｏｍｐａｎｙ．对于Ｄｏｍｉｎｏ而言，无从了解ＣＢ＝ｚｈａｎｇｓａｎ，ＯＵ＝Ｎａｎｊｉｎｇ，ｄｃ＝ｓｏｍｅｃｏｍｐａｎｙ，ｄｃ　

＝ＣＯＢ与ｚｈａｎｇｓａｎ／Ｎａｎｊｉｎｇ／ｓｏｍｅｃｏｍｐａｎｙ是同一个用户，因此Ｄｏｍｉｎｏ拒绝其对邮件文件的访问，单点登录　

一

７７—　

维普资讯

南京师范大学学报（工程技术版）　第６卷第４期（２００６年）　

失败．　

在Ｄｏｍｉｎｏ　６．０及其更高版可以启用名称映射的方式，检查两个目录中的Ｉｎｔｅｒｎｅｔ地址是否匹配来解　

决这个问题，即ＤＡ检查ＬＤＡＰ目录中的ｍａｉｌ信息与Ｄｏｍｉｎｏ　Ｄｉｒｅｃｔｏｒｙ中的Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ属性是否匹　

配．以张三为例，其信息如表３所示．　

表３用户信息对比　

ＬＤＡＰ目录中的属性　

ｍａｉｌ：ｚｈａｎｇｓａｎ＠ｎａｎｊｉｎｇ．ｓｏｍｅｃｏｍｐａｎｙ．ｃｏｒｎ　

Ｄｏｍｉｎｏ　Ｄｉｒｅｃｔｏｒｙ中的属性　

Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ：ｚｈａｎｇｓａｎ＠ｎａｎｊｉｎｇ．ｓｏｍｅｃｏｍｐａｎｙ．ｃｏｒｎ　

这样当ｚｈａｎｇｓａｎ试图访问其邮件文件时，ＤＡ会向ＬＤＡＰ服务器发送搜索请求：　

ＢａｓｅＤＮ：ＯＨ＝Ｎａｎｊｉｎｇ，ｄｃ＝ｓｏｍｅｃｏｍｐａｎｙ，ｄｃ＝ｃｏｍ　

Ｆｉｌｔｅｒ：ｃｎ＝ｚｈａｎｇｓａｎ　

ａｔｔｒｓ　ｔｏ　ｒｅｔｕｍ：”ｍａｉｌ”　

ＬＤＡＰ服务器返回搜索结果：ｍａｉｌ＝ｚｈａｎｇｓａｎ＠ｎａｎｊｉｎｇ．ｓｏｍｅｃｏｍｐａｎｙ．ｃｏｍ，这是Ｄｏｍｉｎｏ与ｚｈａｎｇｓａｎ邮　

件文件对应的ｚｈａｎｇｓａｎ／Ｎａｎｊｉｎｇ／ｓｏｍｅｃｏｍｐａｎｙ的个人文档中的ＩｎｔｅｒｎｅｔＡｄｄｒｅｓｓ属性值进行对比，两者匹　

配．这样就成功地进行了从ＬＤＡＰ名称到Ｄｏｍｉｎｏ名称的映射，Ｄｏｍｉｎｏ允许ｚｈａｎｇｓａｎ访问其邮件文件，单　

点登录成功．　

４小结　

利用上述方法，在一个同时使用微软Ａｃｔｉｖｅ　Ｄｉｒｅｃｔｏｒｙ和Ｌｏｔｕｓ　Ｄｏｍｉｎｏ目录的企业中，可以实现基于　

ＷｅｂＳｐｈｅｒｅ应用服务器的知识管理系统和基于Ｄｏｍｉｎｏ的邮件系统的单点登录问题，既保护了企业前期的　

ＩｒＩ’投资和基本架构，又满足了用户、管理员和开发人员的不同要求，取得了良好的效果．可供类似场景下　

的管理员和开发人员借鉴使用．　

［参考文献］（Ｒｅｆｅｒｅｎｃｅｓ）　

［１］ＷｅｂＳｐｈｅｒｅ　Ａｐｐｌｉｃａｔｉｏｎ　Ｓｅｒｖｅｒ：Ｏｖｅｒｖｉｅｗ［ＥＢ／ＯＬ］．［２００５－０２－０１］．ｈｔｔｐ：／／ｗｗｗ一１２８．ｉｂｍ．ｃｏｍ／ｄｅｖｅｌｏｐｅｒｗｏｒｋｓ／ｃｎ／ｗｅｂ－　

ｓｐｈｅｒｅ／ｚｏｎｅｓ／ｗａａ／ｂｉｇｐｉｃｔｕｒｅ．ｈｔｍ１．　

［２］ＮＩＥＬＳＥＮ　ＳＯＲＥＮ　ＰＥＴＥＲ，ＢＡＲＴＬＥＴＦ　ＭＩＫＥ，ＥＲＮＳＴ　ＥＲＩＣ，ｅｔ　１ａ．Ｄｏｍｉｎｏ　ａｎｄ　ＷｅｂＳｐｈｅｒｅ　Ｔｏｇｅｔｈｅｒ［Ｍ］．２ｎｄ　ｅｄ．Ｎｅｗ　

Ｙｏｒｋ：ＩＢＭ　Ｐｒｅｓｓ，２００１：１０９．　

［３］张颖江，郑秋华，李腊元，等．单次登录技术分析及集中身份认证平台设计［Ｊ］．武汉理工大学学报：交通科学与工程　

版，２００４，２８（２）：２４１—２４３．　

ＺＨＡＮＧ　Ｙｉｎｇｊｉａｎｇ，ＺＨＥＮＧ　Ｑｉｕｈｕａ，ＬＩ　Ｌａｙｕａｎ．Ａｎａｌｙｓｉｓ　ｏｆ　ｓｉｎｇｌｅ　ｓｉｇｎ－ｏｎ　ｔｅｃｈｎｉｑｕｅ　ａｎｄ　ｄｅｓｉｎ　ｏｆｇ　ｃｅｎｔｒｌａ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｐｌａｔ－　

ｆｏｒｍ［Ｊ］．Ｊｏｕｒｎａｌ　ｏｆ　Ｗｕｈａｎ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｔｅｃｈｎｏｌｏｇｙ：Ｔｒａｎｓｐｏｒｔａｔｉｏｎ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｅｎｇｉｎｅｅｉｒｎｇ，２００４，２８（２）：２４１—２４３．（ｉｎ　

Ｃｈｉｎｅｓｅ）　

［４］靳芬，秦肖臻，王卓，等．用ＪＳＰ创建基于ＷｅｂＳｐｈｅｒｅ的Ｄｏｍｉｎｏ　Ｗｅｂ应用［Ｊ］．微机发展，２００４，１４（１０）：１７—２０．　

ＪＩＮ　Ｆｅｎ，ＱＩＮ　Ｘｉａｏｚｈｅｎ，ＷＡＮＧ　Ｚｈｕｏ，ｅｔ．ａ１．Ｄｅｓｉｇｎ　ｄｏｍｉｎｏ　ｗｅｂ　ａｐｐｌｉｃａｔｉｏｎ　ｕｓｉｎｇ　ＪＳＰ　ｂａｓｅｄ　ｏｎ　ｗｅｂｓｐｈｅｒｅ［Ｊ］．Ｍｉｃｍｃｏｍ—　

ｐｕｔｅｒ　Ｄｅｖｅｌｏｐｍｅｎｔ。２００４，１４（１０）：１７　２０．（ｉｎ　Ｃｈｉｎｅｓｅ）　

［５］吴沽明，杨轶鑫，等．基于Ｐｏｒｔａｌ的统一身份认证系统研究与开发［Ｊ］．航空计算技术，２００４，３４（４）：８８—９１．　

ＷＵ　Ｊｉｅｍｉｎｇ，ＹＡＮＧ　Ｙｉｘｉｎ．Ｒｅｓｅａｒｃｈ　ａｎｄ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｕｎｉｆｉｅｄ　ｉｄｅｎｔｉｔｙ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｓｙｓｔｅｍ　ｂａｓｅｄ　ｏｎ　ｐｏｒｔｌ［Ｊ］．Ａｅｒａｏｎａｕ．　

ｔｉｃａｌ　Ｃｏｍｐｕｔｅｒ　Ｔｅｃｈｎｉｑｕｅ，２００４，３４（４）：８８—９１．（ｉｎ　Ｃｈｉｎｅｓｅ）　

［责任编辑：刘健］　

一

７８一