2022-03-10 CAS认证流程

CAS认证流程图：

(1) 用户通过浏览器访问指定页面；

(2) 页面对应的后台进行安全校验：检查service-ticket和access token是否存在，若不存在，则 重定向 到CAS服务器 /cas/login/；

(3) CAS服务器要求用户提供SSO登录凭证；

(4) 用户提供用户名和密码给CAS服务器；

(5) CAS服务器将service ticket和 service URL返回给后台；

(6) 后台发送验证请求给CAS服务器检验service ticket和service URL是否匹配；

(7) 若后台得到service ticket和service URL匹配，返回前台浏览器，TGC一并存储到浏览器中；

(8) 浏览器访问指定页面；

CAS是CentralAuthenticationService的缩写，中央认证服务，一种独立开放指令协议。

CAS是 Yale 大学发起的一个开源项目，旨在为Web应用系统提供一种可靠的单点登录方法，CAS在2004年12月正式成为JA-SIG的一个项目。

特点

1、开源的企业级单点登录解决方案。

2、CASServer为需要独立部署的Web应用。

3、CASClient支持非常多的客户端(这里指单点登录系统中的各个Web应用)，包括Java,.Net,PHP,Perl,Apache,uPortal,Ruby等。

原理和协议

从结构上看，CAS包含两个部分：CASServer和CASClient。CASServer需要独立部署，主要负责对用户的认证工作；

CASClient负责处理对客户端受保护资源的访问请求，需要登录时，重定向到CASServer。图是CAS最基本的协议过程：

CASClient与受保护的客户端应用部署在一起，以Filter方式保护受保护的资源。对于访问受保护资源的每个Web请求，CASClient会分析该请求的Http请求中是否包含ServiceTicket，

如果没有，则说明当前用户尚未登录，于是将请求重定向到指定好的CASServer登录地址，并传递Service（也就是要访问的目的资源地址），以便登录成功过后转回该地址。

用户在第3步中输入认证信息，如果登录成功，CASServer随机产生一个相当长度、唯一、不可伪造的ServiceTicket，并缓存以待将来验证，

之后系统自动重定向到Service所在地址，并为客户端浏览器设置一个TicketGrantedCookie（TGC），

CASClient在拿到Service和新产生的Ticket过后，在第5，6步中与CASServer进行身份核实，以确保ServiceTicket的合法性。

在该协议中，所有与CAS的交互均采用SSL协议，确保，ST和TGC的安全性。协议工作过程中会有2次重定向的过程，但是CASClient与CASServer之间进行Ticket验证的过程对于用户是透明的。

另外，CAS协议中还提供了Proxy（代理）模式，以适应更加高级、复杂的应用场景，具体介绍可以参考CAS官方网站上的相关文档。

扩展资料

使用CAS在Tomcat中实现单点登录中部署客户端应用

单点登录的目的是为了让多个相关联的应用使用相同的登录过程，本文在讲解过程中构造2个简单的应用，分别以casTest1和casTest2来作为示例，它们均只有一个页面，显示欢迎信息和当前登录用户名。

这2个应用使用同一套登录信息，并且只有登录过的用户才能访问，通过本文的配置，实现单点登录，即只需登录一次就可以访问这两个应用。

与CASServer建立信任关系

假设CASServer单独部署在一台机器A，而客户端应用部署在机器B上，由于客户端应用与CASServer的通信采用SSL，因此，需要在A与B的JRE之间建立信任关系。

首先与A机器一样，要生成B机器上的证书，配置Tomcat的SSL协议。

其次，下载http://blogs.sun.com/andreas/entry/no_more_unable_to_find 的InstallCert.java，运行“javaInstallCertcompA:8443”命令，

并且在接下来出现的询问中输入1。

这样，就将A添加到了B的truststore中。如果多个客户端应用分别部署在不同机器上，那么每个机器都需要与CASServer所在机器建立信任关系。

配置CASFilter

准备好应用casTest1和casTest2过后，分别部署在B和C机器上，由于casTest1和casTest2，B和C完全等同，我们以casTest1在B机器上的配置做介绍，

假设A和B的域名分别为domainA和domainB。

将cas-client-java-2.1.1.zip改名为cas-client-java-2.1.1.jar并拷贝到casTest1/WEB-INF/lib目录下，修改web.xml文件，添加CASFilter，如清单10所示：

清单10.添加CASFilter

<web-app>  ...  <filter>

<filter-name>CASFilter</filter-name>

    <filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>

<init-param>

      <param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>

<param-value>https://domainA:8443/cas/login</param-value>

    </init-param>

<init-param>

<param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>

      <param-value>https://domainA:8443/cas/serviceValidate</param-value>

</init-param>

    <init-param>

<param-name>edu.yale.its.tp.cas.client.filter.serverName</param-name>

      <param-value>domainB:8080</param-value>

</init-param>

  </filter>

<filter-mapping>

<filter-name>CASFilter</filter-name>

    <url-pattern>/protected-pattern/*</url-pattern>

</filter-mapping>

  ...

</web-app>

对于所有访问满足casTest1/protected-pattern/路径的资源时，都要求到CASServer登录，如果需要整个casTest1均受保护，可以将url-pattern指定为“/*”。

从清单10可以看到，我们可以为CASFilter指定一些参数，并且有些是必须的，表格1 和表格2 中分别是必需和可选的参数：

表格1.CASFilter必需的参数

表格2.CASFilter可选参数

传递登录用户名

CAS在登录成功过后，会给浏览器回传Cookie，设置新的到的ServiceTicket。但客户端应用拥有各自的Session，我们要怎么在各个应用中获取当前登录用户的用户名呢？

CASClient的Filter已经做好了处理，在登录成功后，就可以直接从Session的属性中获取，如清单11所示：

清单11.在Java中通过Session获取登录用户名

1  //以下两者都可以

2  session.getAttribute(CASFilter.CAS_FILTER_USER)

3  session.getAttribute("edu.yale.its.tp.cas.client.filter.user")

在JSTL中获取用户名的方法如清单12所示：

清单12.通过JSTL获取登录用户名

1  <c:outvalue="${sessionScope[CAS:'edu.yale.its.tp.cas.client.filter.user']}"/>

另外，CAS提供了一个CASFilterRequestWrapper类，该类继承自HttpServletRequestWrapper，主要是重写了getRemoteUser()方法，

只要在前面配置CASFilter的时候为其设置“edu.yale.its.tp.cas.client.filter.wrapRequest”参数为true，就可以通过getRemoteUser（）方法来获取登录用户名，具体方法如清单13所示：

清单13.通过CASFilterRequestWrapper获取登录用户名

1 CASFilterRequestWrapper reqWrapper=newCASFilterRequestWrapper(request)

2 out.println("Thelogonuser:"+reqWrapper.getRemoteUser())

参考资料来源：百度百科-CAS

参考资料来源：IBM中国-使用CAS在Tomcat中实现单点登录

---