這段時間一直在做Portal和Businessware的集成工作，其實就是SSO啦。
看到前面的兄弟有人說，WebLogic的SSO差，說WebSphere的SSO不允許擴展（關(guān)鍵是你要怎么個擴展法），我覺得都不太準確。下面我來說說我的看法。首先，SSO從Realm的角度上來分，大體分為兩種：
1. Back end 和 Portal Service在同一個Realm中(Single Realm)
2. Back end 和 Portal Service分別在不同的Realm中(Multi Realm)

可以簡單理解為是否都在防火墻的同一邊（其實這樣理解也不是太準確）。
下面一家一家的說：
WebLogic Portal 8.1 SP4:
通過JAAS支持Single Realm SSO。具體就是你自己實現(xiàn)一個標準的JAAS LoginModule，然后再實現(xiàn)幾個WebLogic Security Framework的特有接口（SSPIs）以形成一個Authentication Provider,把它加入到WebLogic Security infrastructure中，在認證過程中就完成了SSO。Back end通常都要和WebLogic Portal在同一個物理域中。標準程度：50%，因為認證這塊完全是使用標準的JAAS Authentication module，授權(quán)就是BEA擴展JAAS實現(xiàn)的，使用起來感覺的和標準的差不多。評價：JAAS標準的忠實跟隨者，實現(xiàn)SSO時需要深度侵入，這個不太好，如果需要支持Multi-realm，BEA的人會建議你找siteminder的。

WebSphere Portal 5.1:
IBM不愧為軟件巨頭，Single-realm和Multi-realm通殺。對于Single-realm的同樣是基于標準的JAAS，你可以寫自己的LoginModule并且Plug-in到WebSphere的Security infrastructure中。但是，這里要注意一點，WebSphere Portal5.1對應(yīng)的WebSphere Application Server也是5.1版本，這個版本的對于用戶添加自己的LoginModule支持似乎不是太好，文檔很少基本上只有一個Disclaimer的支持宣稱。到了剛剛出來的WAS6.0就不同了，呵呵，文檔詳細，擴展性強大，對標準的支持與BEA不相上下了，但是WPS6.0還沒有推出。暈~~~。對于Multi-realm,IBM可以說是支持的非常好的了，當(dāng)然就是它的Credential Vault架構(gòu)，雖然是非標準的東西，但是Idea不錯，同樣支持擴展，你可以通過implement interface的方式實現(xiàn)自己的Credential Vault Service。標準程度：50%。評價：功能齊全，歷史悠久。還有WebSphere提供了功能強大的各種callback實現(xiàn)，值得各家學(xué)習(xí)呀！ +1

SunOne Portal 2005Q1:
Sun的東西就是有性格，它的Portal根本就不是純JAVA的，除了支持一般的Web Portal還支持其特有的DeskTop Portal，也許是知道自己的AS搞不過別人吧，Web Portal那一塊聽說還可以Deploy到WebLogic和WebSphere上run。
它對于SSO的支持同樣與眾不同，Portal本身根本不提供，認證，授權(quán)等等一系列的Security Service，完完全全交給其Portal Bundled的Sun Java System Access Manager產(chǎn)品來支持，其實也不是什么新東西，就是以前Identify Server換了一層皮而已。通過隔離這一層，其對Single-realm和Multi-realm也是通殺。JAAS， WebService Security等各種Java的Security標準也全部支持?？梢赃x擇的SSO實現(xiàn)方法就多了。但是，我要罵它一句，JAAS那東西都是你們公司那個宮力整出來的，為什么再對實現(xiàn)第三方的JAAS LoginModule時非要繼承那個惡心的父類呀?。ú贿^后來聽說也支持pure的JAAS LoginModule直接嵌入，但是罵了再說）。目前可以下載到的Sun Java Access Manager只有Solaris8/9/10和Red Hat Enterprise2.1/3.0的版本。Access Manager的SSO實現(xiàn)架構(gòu)其實是非常有特色的，我非常喜歡，如果想了解，可以去看看JOSSO的架構(gòu)，搞不清楚，他們誰抄誰的，在我看來基本一樣。評價：Cool!侵入性較小。

最后再說說JetSpeed 2這個超級跳票王吧。說好了2005初release 1.0Final的，NND，現(xiàn)在才剛剛進入1.0-M3-dev，還有N個Bug沒有修，不知道bluesunrise的哥們忙什么去了。不過基本架構(gòu)已經(jīng)定下來了，基于Spring，完全支持JAAS 的認證和授權(quán)，提供了簡單的Multi-Realm的支持（這估計是抄WebSphere的）。Single-Thread Portlet render的時候還比較穩(wěn)定，打開Multi-thread就crash啦。有一點要特別說明的，J2的authentication雖然是基于JAAS，但是實現(xiàn)上有很嚴重的問題，希望是我對美國的那些軟件大師的設(shè)計理念理解錯誤吧！ Amen~~~大家如果有空都去頂一下Apache JetSpeed2的開發(fā)吧！完全基于Maven的POM，Jira的項目管理，上手很快的啦！

以上評論：
全部都是發(fā)發(fā)牢騷，一句話：Disclaimer。錯漏難免，最后再佩服一下IBM的Red book作者，什么Multi-realm， Single-realm都是這些概念大師們的杰作啦。