2. 程式人生 > >SSO（Single Sign On）系列（三）--CAS單點登入

SSO（Single Sign On）系列（三）--CAS單點登入

阿新 • • 發佈：2019-02-15

上篇文章介紹了SSO的原理以及5種基本流程，相信看完了之後不難理解單點登入，而CAS是SSO的一種實現方案，原理是一樣的。下面介紹一下。

CAS Server：負責完成對使用者的認證工作，需要獨立部署，CAS Server會處理使用者名稱/密碼等憑證。

CAS Client：負責處理對客戶端受保護資源的訪問請求，需要對請求方進行身份認證時，重定向到CAS Server進行認證。CASClient與受保護的客戶端應用部署在一起，以Filter方式保護受保護資源。

CAS請求認證圖


說明：CAS Client與受保護的客戶端應用部署在一起，以Filter方式保護Web應用的受保護資源，過濾從客戶端過來的每一個

web請求，同時，CAS Client會分析HTTP請求中是否包含請求Service Ticket，如果沒有，則說明該使用者是沒有經過認證的；於是CAS Client會重新定向到CASServer（傳遞Service<要訪問的資源地址>+cookie）。CAS Server驗證TGT失敗返回登入頁面。輸入認證資訊，如果Credentials認證資訊成功，CAS Server隨機產生一個相當長度、唯一、不可偽造的Service Ticket,並快取以待將來驗證，並重定向到Service所在地址，併為客戶端瀏覽器設定一個Ticket Granted Cookie;Cas Client
在拿到Service和新產生的Ticket過後，在CAS Server進行驗證，驗證成功後，進行快取。

經過分析發現，CAS請求認證圖和上篇文章的SSO認證圖是大同小異的。

例項

       兩個CAS Client實現單點登入效果，登入進去之後顯示更多的驗證資訊：（以tomcat中的示例example為例做測試）

       伺服器：tomcat 6.0

一、CAS Server部署

       解壓cas-server-3.5.2-release.zip(提取cas-server-3.5.2-release.zip\cas-server-3.5.2\modules\cas-server-webapp-3.5.2.war

,重新命名為cas.war)部署到tomcat中。

二、CAS Client配置：

 1、\WEB-INF\lib下新增jar包

    cas-client-core-3.2.0（cas-client-3.2.0-release.zip解壓提取cas-client-3.2.0/modules/cas-client-core-3.2.0）

commons-logging-1.1.1

2、web.xml配置攔截器（client1為例）

 <listener>
                       <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
                </listener>
<!-- 該過濾器用於實現單點登出功能，可選配置。 -->
                <filter>
                        <filter-name>CASSingle Sign Out Filter</filter-name>
                       <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
                </filter>
                <filter-mapping>
                        <filter-name>CASSingle Sign Out Filter</filter-name>
                       <url-pattern>/*</url-pattern>
                </filter-mapping>
<filter>
                        <filter-name>CASFilter</filter-name>
                       <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
                        <init-param>
                               <param-name>casServerLoginUrl</param-name>
                               <param-value>http://localhost:8080/cas/login</param-value>
                        </init-param>
                        <init-param>
                               <param-name>serverName</param-name>
                               <param-value>http://localhost:18080</param-value>
                        </init-param>
                </filter>
                <filter-mapping>
                        <filter-name>CASFilter</filter-name>
                       <url-pattern>/*</url-pattern>
                </filter-mapping>
                <!-- 該過濾器負責對Ticket的校驗工作，必須啟用它 -->
                <filter>
                        <filter-name>CASValidation Filter</filter-name>
                        <filter-class>
                               org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter</filter-class>
                        <init-param>
                               <param-name>casServerUrlPrefix</param-name>
                               <param-value>http://localhost:8080/cas</param-value>
                        </init-param>
                        <init-param>
                               <param-name>serverName</param-name>
                               <param-value>http://localhost:18080</param-value>
                        </init-param>
                </filter>
                <filter-mapping>
                        <filter-name>CASValidation Filter</filter-name>
                       <url-pattern>/*</url-pattern>
                </filter-mapping>
<!--
                        該過濾器負責實現HttpServletRequest請求的包裹，
                        比如允許開發者通過HttpServletRequest的getRemoteUser()方法獲得SSO登入使用者的登入名，可選配置。
                -->
                <filter>
                        <filter-name>CASHttpServletRequest Wrapper Filter</filter-name>
                        <filter-class>
                               org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
                </filter>
                <filter-mapping>
                        <filter-name>CASHttpServletRequest Wrapper Filter</filter-name>
                       <url-pattern>/*</url-pattern>
                </filter-mapping>
<!--
                該過濾器使得開發者可以通過org.jasig.cas.client.util.AssertionHolder來獲取使用者的登入名。
                比如AssertionHolder.getAssertion().getPrincipal().getName()。
                -->
                <filter>
                        <filter-name>CASAssertion Thread Local Filter</filter-name>
                       <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
                </filter>
                <filter-mapping>
                        <filter-name>CASAssertion Thread Local Filter</filter-name>
                       <url-pattern>/*</url-pattern>
                </filter-mapping>

3、同理在client2的web.xml配置同上，注意修改埠號

4、頁面顯示更多的憑證資訊

程式碼：HelloWorldExample.java裡面新增程式碼：

Assertion assertion = (Assertion)request.getSession().getAttribute(
               AbstractCasFilter.CONST_CAS_ASSERTION);
if (null != assertion){
        out.println(" Log | ValidFromDate=:"
                        +assertion.getValidFromDate() + "<br>");
        out.println(" Log | ValidUntilDate=:"
                        +assertion.getValidUntilDate() + "<br>");
        Map<String, Object> attMap =assertion.getAttributes();
        out.println(" Log | getAttributesMap size = " + attMap.size()
                        +"<br>");
        for (Entry<String, Object> entry: attMap.entrySet()) {
                out.println("     | " + entry.getKey() + "=:"
                                +entry.getValue() + "<br>");
        }
        AttributePrincipal principal =assertion.getPrincipal();
//AttributePrincipalprincipal = (AttributePrincipal) request
        // .getUserPrincipal();
String username = null;
        out.print(" Log |UserName:");
        if (null != principal) {
                username = principal.getName();
                out.println("<spanstyle='color:red;'>" + username
                                +"</span><br>");
        }
}

5、測試驗證：

輸入client1網址：http://localhost:18080/examples/servlets/servlet/HelloWorldExample

跳轉到登入頁面：


輸入使用者名稱，密碼：admin,admin

跳轉頁面


看返回地址，在這裡返回一個ST給client端，快取起來。

接著訪問client2,網址：http://localhost:28080/examples/servlets/servlet/HelloWorldExample，不用輸入使用者名稱和密碼，跳轉到client2的業務頁面：


看輸入連結，只有本地的連結

原理：根據Cookie驗證是否已經登入

       注：如果訪問有問題，則修改安全認證的安全級別，cas預設的是HTTPS協議，如果對安全的要求不高，可使用HTTP協議。

        修改預設協議如下：

        修改deployerConfigContext.xml 增加引數p:requireSecure="false"，是否需要安全驗證，即HTTPS，false為不採用。

<beanclass="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsAuthenticationHandler"p:httpClient-ref="httpClient"
p:requireSecure="false"/>
 
       修改ticketGrantingTicketCookieGenerator.xml(cas/WEB-INF/spring-configuration/ticketGrantingTicketCookieGenerator.xml) 中ticketGrantingTicketCookieGenerator p:cookieSecure 屬性 修改為 false。
       <beanid="ticketGrantingTicketCookieGenerator"class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"
p:cookieSecure="false"p:cookieMaxAge="-1" p:cookieName="CASTGC"p:cookiePath="/cas" />

總結

通過cas，系統之間解耦，並且不用開發人員再單獨去開發資訊認證系統，統一的資訊管理平臺，大大簡化了開發。

附原始碼


相關推薦

SSO（Single Sign On）系列（三）--CAS單點登入

上篇文章介紹了SSO的原理以及5種基本流程，相信看完了之後不難理解單點登入，而CAS是SSO的一種實現方案，原理是一樣的。下面介紹一下。 CAS Server：負責完成對使用者的認證工作，需要獨立部署，CAS Server會處理使用者名稱/密碼等憑證。 CAS Client：負責處理對客戶端受保護資源的

SSO（Single Sign On）單點登入系統

SSO（Single Sign On）單點登入系統 1.登入 @Controller public class LoginController { @Autowired private LoginService loginService; @Value("${TOKEN_

單點登入實現方式（Single Sign On）

Server端： 1.共享cookie方式（共享session），把session-id放到每一次請求的url裡，即把session拿出來讓所有的Server共享，不安全； 2.SSO-Token方式（Ticket),不再已session-id作為身份的標識，另外生成一種標識

單點登入（Single Sign On）

較大的企業內部，一般都有很多的業務支援系統為其提供相應的管理和IT服 務。例如財務系統為財務人員提供財務的管理、計算和報表服務；人事系統為人事部門提供全公司人員的維護服務；各種業務系統為公司內部不同的業務提供不同的 服務等等。這些系統的目的都是讓計算機來進行復雜繁瑣的計算工作，來替代人力的手工勞動，提高工作效

ASP.NET 安全認證（四）——巧妙實現 Form 表單認證跨站點、跨伺服器的單點登入（Single Sign On）

【原創】ASP.NET 安全認證（四） ——巧妙實現 Form 表單認證跨站點、跨伺服器的單點登入（Single Sign On） 作者：寒羽楓(cityhunter172) 第四部分 Form 認證的補充 前三篇在 CSDN 論壇公佈後，效果如同“神仙放屁——果然不同

單點登入（Single Sign On）解決方案

單點登入（Single Sign On）解決方案 需求 多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。 A 網站和 B 網站是同一家公司的關聯服務。現在要求，使用者只要在其中一個網站登入，再訪問另一個網站就會自動登入，請問怎麼實現？ 涉及到的關鍵點： 這裡就涉及到了 跨域認證

Oracle的單點登入解決方案（Single Sign-On Solution)

Single Sign-On(SSO)即單點登入，在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。在此條件下，管理員無需修改或干涉使用者登入就能方便的實施希望得到的安全控制。 Oracle現有兩套單點登入的解決方案：Oracle Access Man

CAS單點登入（SSO）介紹及部署

介紹 CAS CAS 是Yale（耶魯）大學的一個開源的企業級單點登入系統，它的特點： Java (Spring Webflow/Spring Boot) 服務元件 可插拔身份驗證支援（LDAP，Database，X.509，MFA） 支援多種協議

CAS單點登入-介紹（一）

CAS單點登入-介紹（一） 由於之前工作需要都是對接現成的單點登陸服務，基於自己興趣目前正在研究CAS單點登陸原理和搭建以及不同的應用場景對接方式。特此來記錄學習的過程以及分享，希望能幫助大家。 1.CAS是什麼？ CAS是Central Authenticat

cas單點登入 （二） 客戶端與springboot整合

在springboot專案中實現cas單點登入統一認證，只需要在專案中配置 cas過濾器即可使用. 1. springboot專案pom.xml中 新增web支援依賴 、cas客戶端依賴包 <dependency> <groupId>org

CAS單點登入（客戶端、服務端）搭建

一、單點登入簡介 單點登入（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。 CAS 是一個開源的企業級單點登入系統，CAS 包含兩個部分：CAS Serve

cas單點登入原理簡單介紹（1）

SSO簡介 1.1 單點登入定義 單點登入(Single sign on)，英文名稱縮寫SSO，SSO的意思就是在多系統的環境中，登入單方系統，就可以在不用再次登入的情況下訪問相關受信任的系統。也就是說只要登入一次單體系統就可以。計劃在專案中加入單點登入，開發

CAS單點登入（一）——單點登入與CAS理論介紹

一、什麼是單點登入（SSO） 　　單點登入主要用於多系統整合，即在多個系統中，使用者只需要到一箇中央伺服器登入一次即可訪問這些系統中的任何一個，無須多次登入。 　　單點登入（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，使用者只

cas 單點登入（一）

對接單點登入不是這個端退出不了，就是使用者賬號實現多模組切換，甚是煩惱 有很大的區別，目前服務端最新版本為：cas-server-3.4.4-release.zip 解壓cas-server-3.4.4-release.zip將modules目錄下的cas-ser

CAS單點登入（5）：相關參考資料

目錄 目錄 github地址： 較完整的教程CSDN 學習總結 第三方登入 其他 github地址： https://github.com/apereo/cas https://g

CAS單點登入（3）：cas-4.0.0 客戶端配置

新建web工程 新增依賴jar包 cas-client-core-3.2.1.jar commons-logging-1.2.jar Tips: Maven專案直接新增Pom： <dependency> <grou

CAS單點登入（4）：cas-4.0.0-server 配置mysql資料庫查詢認證

目錄 目錄 概述 環境要求 建立資料庫 Tips 配置cas-server 配置dataSource 配置passwordEnco

CAS單點登入（2）：cas-4.0.0-server 去掉https驗證

目錄 目錄 去掉https驗證 1. 修改deployerConfigContext.xml新增p:requireSecure=”false” 2. 修改ticketGrantingTicketCookieGenerat

CAS單點登入（1）：cas-4.0.0-server 簡單部署

下載CAS4.0.0 選擇4.0.0 的原因是：4.0.0以後打包比較麻煩，4.0.0版本內有打包好的war 下載地址 github專案地址 cas 4.0.0地址 解壓找到war包部署 解壓 cas-server-4.

Cas單點登入（整合shiro版本）

/** * shiro登入實現類 * */ //重點是整合CasRealm public class ShiroRealm extends CasRealm { private Logger log = LoggerFactory.getLogger(ShiroRealm.class);