2、身份认证：基于口令的认证、多因素认证（MFA）、单点登录（SSO）与LDAP集成

2.1 基于口令的认证

口令（密码）认证是最基础、最广泛使用的身份验证方式。其核心原理是“用户知道什么”（Something you know）。尽管简单，但在系统集成中，口令的安全存储与传输至关重要。

安全挑战与最佳实践

挑战	风险描述	最佳实践
弱口令	易被暴力破解或猜测	强制复杂度策略（大小写、数字、特殊字符）
明文存储	数据库泄露导致口令直接暴露	使用加盐哈希（如 bcrypt, Argon2）存储
传输窃听	中间人攻击截获口令	强制使用 TLS/HTTPS 加密传输
重放攻击	截获认证报文后重放	引入时间戳、随机数（Nonce）或一次性令牌

口令认证流程（SVG图示）

2.2 多因素认证（MFA）

MFA通过组合两种或以上不同类型的认证因素，显著提升安全性。常见的因素类型包括：

• 知识因素： 密码、PIN码（你知道的）
• 持有因素： 手机（SMS/APP）、硬件令牌、智能卡（你拥有的）
• 固有因素： 指纹、面部识别、虹膜（你是什么的）

MFA认证流程（SVG图示）

2.3 单点登录（SSO）

SSO允许用户使用一组凭据登录多个独立系统，极大提升用户体验并减少密码疲劳。在系统集成中，SSO是统一门户和身份联邦的核心技术。

SSO核心协议对比

协议	传输格式	适用场景	安全性特点
SAML 2.0	XML	企业级Web应用、SaaS	支持数字签名，断言加密
OAuth 2.0 / OpenID Connect	JSON	移动应用、API授权、现代Web	基于令牌（Token），支持范围（Scope）
Kerberos	二进制	Windows域、内网服务	票据（Ticket）机制，防重放

SSO工作原理（SVG图示）

2.4 LDAP集成

LDAP（轻量级目录访问协议）是集中管理用户身份信息的行业标准协议。在系统集成中，LDAP作为统一的用户数据源，与SSO、MFA等方案深度结合。

LDAP集成架构（SVG图示）

LDAP集成关键点

• 目录结构设计： 合理规划DN（Distinguished Name）树，如按组织、部门、角色分层。
• 认证方式： 支持简单绑定（Simple Bind）和SASL（如DIGEST-MD5）认证。
• 安全加固： 启用LDAPS（LDAP over SSL）或StartTLS加密传输。
• 与SSO结合： LDAP作为用户源，SSO IdP通过LDAP验证用户身份并颁发令牌。

代码示例：Python LDAP认证

import ldap3

def ldap_authenticate(username, password):
    server = ldap3.Server('ldaps://ldap.example.com:636', use_ssl=True)
    conn = ldap3.Connection(server, user=f'cn={username},ou=users,dc=example,dc=com', password=password)
    try:
        if conn.bind():
            print(f"用户 {username} 认证成功")
            return True
        else:
            print(f"认证失败: {conn.result['description']}")
            return False
    except Exception as e:
        print(f"LDAP连接异常: {e}")
        return False
    finally:
        conn.unbind()