CAS SSO 4.0.x 使用者資料庫驗證
1、概述
單點登入（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。 耶魯大學（yale）開發的單點登入（Single Sign On）系統稱為CAS（Central Authentication Service）被設計成一個獨立的Web應用程式(cas.war)。 CAS在2004年12月成為Jasig專案，所以也叫JA-SIG CAS。
本文中伺服器版本基於4.0.0版本，對應的客戶端版本為3.3.3;
官網：https://apereo.github.io/cas/4.0.x/index.html
2、CAS 原理和協議
從結構上看，CAS 包含兩個部分： CAS Server 和 CAS Client。CAS Server 需要獨立部署，主要負責對使用者的認證工作；CAS Client 負責處理對客戶端受保護資源的訪問請求，需要登入時，重定向到 CAS Server。
上面是 CAS 最基本的協議過程：
CAS Client 與受保護的客戶端應用部署在一起，以 Filter 方式保護受保護的資源。對於訪問受保護資源的每個 Web 請求，CAS Client 會分析該請求的 Http 請求中是否包含 Service Ticket，如果沒有，則說明當前使用者尚未登入，於是將請求重定向到指定好的 CAS Server 登入地址，並傳遞 Service （也就是要訪問的目的資源地址），以便登入成功過後轉回該地址。使用者在第 3 步中輸入認證資訊，如果登入成功，CAS Server 隨機產生一個相當長度、唯一、不可偽造的 Service Ticket，並快取以待將來驗證，之後系統自動重定向到 Service 所在地址，併為客戶端瀏覽器設定一個 Ticket Granted Cookie（TGC），CAS Client 在拿到 Service 和新產生的 Ticket 過後，在第 5，6 步中與 CAS Server 進行身份合適，以確保 Service Ticket 的合法性。
在該協議中，所有與 CAS 的互動均採用 SSL 協議，確保，ST 和 TGC 的安全性。協議工作過程中會有 2 次重定向的過程，但是 CAS Client 與 CAS Server 之間進行 Ticket 驗證的過程對於使用者是透明的。
另外，CAS 協議中還提供了 Proxy （代理）模式，以適應更加高階、複雜的應用場景，具體介紹可以參考 CAS 官方網站上的相關文件。
3、環境
- Tomcat 8.x 本文中安裝目錄為: D:\tool\apache-tomcat-8.0.21
- JDK 8 本文中安裝目錄為: D:\tool\Java\jdk1.8.0_45
- CAS Server版本: cas-server-4.0.0
- CAS Client版本: cas-client-3.3.3
關於CAS SSO的證書配置以及簡單的驗證可以到博主之前的博文 : CAS SSO 簡介
4、CAS Server 使用者認證定製
首先，開啟D:\tool\apache-tomcat-8.0.21\webapps\cas\WEB-INFdeployerConfigContext.xml
註釋掉預設的使用者驗證,註釋的程式碼如下：
<bean id="primaryAuthenticationHandler"
class="org.jasig.cas.authentication.AcceptUsersAuthenticationHandler">
<property name="users">
<map>
<entry key="casuser" value="Mellon"/>
</map>
</property>
</bean> 新增JDBC驗證方式如下:
<!-- 資料庫連線 -->
<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource" >
<property name="driverClass" value="com.mysql.jdbc.Driver"/>
<property name="jdbcUrl" value="jdbc:mysql://192.168.0.10:3306/college?useUnicode=true&characterEncoding=UTF-8&zeroDateTimeBehavior=convertToNull"/>
<property name="user" value="root"/>
<property name="password" value="root 1"/>
<!-- 博主遇到的MySQL8小時問題 -->
<property name="preferredTestQuery" value="SELECT 1"/>
<property name="idleConnectionTestPeriod" value="18000"/>
<property name="testConnectionOnCheckout" value="true"/>
</bean>
<!-- 可選配置:資料庫加密方式 -->
<bean id="passwordEncoder" class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder"
c:encodingAlgorithm="SHA1"
p:characterEncoding="UTF-8" />
<bean id="dbAuthHandler" class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler"
p:dataSource-ref="dataSource"
p:sql="select password from t_user_login where username=? and type='1'"
p:passwordEncoder-ref="passwordEncoder" /> 找到bean的id為authenticationManager做以下修改.
<bean id="authenticationManager" class="org.jasig.cas.authentication.PolicyBasedAuthenticationManager">
<constructor-arg>
<map>
<entry key-ref="proxyAuthenticationHandler" value-ref="proxyPrincipalResolver" />
<!--<entry key-ref="primaryAuthenticationHandler" value-ref="primaryPrincipalResolver" /> -->
<entry key-ref="dbAuthHandler" value-ref="primaryPrincipalResolver"/>
</map>
</constructor-arg>
<property name="authenticationPolicy">
<bean class="org.jasig.cas.authentication.AnyAuthenticationPolicy" />
</property>
</bean> 根據上述配置，我們需要在D:\apache-tomcat-8.0.21\webapps\cas\WEB-INF\lib中加入c3p0-0.9.1.2.jar包、MySQL-connector-java-5.1.21.jar包和cas-server-support-jdbc-4.0.0.jar包。
5、CAS Client 配置
<!-- 單點登出監聽器 -->
<listener>
<listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
</listener>
<!-- 該過濾器用於實現單點登出功能，可選配置。 -->
<filter>
<filter-name>CAS Single Sign Out Filter</filter-name>
<filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
</filter>
<!-- 該過濾器負責使用者的認證工作，必須啟用它 -->
<filter>
<filter-name>CAS Authentication Filter</filter-name>
<filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
<init-param>
<param-name>casServerLoginUrl</param-name>
<param-value>https://localhost:8443/cas/login</param-value>
</init-param>
<init-param>
<param-name>serverName</param-name>
<param-value>http://localhost:8080</param-value>
</init-param>
</filter>
<!-- 該過濾器負責對Ticket的校驗工作，必須啟用它 -->
<filter>
<filter-name>CAS Validation Filter</filter-name>
<filter-class>org.jasig.cas.client.validation.Cas10TicketValidationFilter</filter-class>
<init-param>
<param-name>casServerUrlPrefix</param-name>
<param-value>https://localhost:8443/cas</param-value>
</init-param>
<init-param>
<param-name>serverName</param-name>
<param-value>http://localhost:8080</param-value>
</init-param>
<init-param>
<param-name>redirectAfterValidation</param-name>
<param-value>true</param-value>
</init-param>
</filter>
<!--
該過濾器負責實現HttpServletRequest請求的包裹，
比如允許開發者通過HttpServletRequest的getRemoteUser()方法獲得SSO登入使用者的登入名，可選配置。
-->
<filter>
<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
<filter-class>org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
</filter>
<!--
該過濾器使得開發者可以通過org.jasig.cas.client.util.AssertionHolder來獲取使用者的登入名。
比如AssertionHolder.getAssertion().getPrincipal().getName().
-->
<filter>
<filter-name>CAS Assertion Thread Local Filter</filter-name>
<filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>CAS Single Sign Out Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>CAS Authentication Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>CAS Validation Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>CAS Assertion Thread Local Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>