SSO CAS 探究
CAS的官網(wǎng)：http://www.jasig.org/cas
CAS Server wiki：https://wiki.jasig.org/display/CASUM/Home
CAS Client wiki：https://wiki.jasig.org/display/CASC/Home
http://blog.csdn.net/haydenwang8287/article/details/5765941
http://www.micmiu.com/enterprise-app/sso/sso-cas-sample/
http://yuzhwe.iteye.com/blog/830143? 獲取更多用戶信息
?http://www.doc88.com/p-598933477220.html?
http://toplchx.iteye.com/blog/1013001cas 與spring security整合
CAS 基礎配置
1JDK環(huán)境變量設置
2?安全證書配置
3?部署CAS-Server相關的Tomcat
4?部署CAS-Client相關的Tomcat
5 不使用HTTPS配置
6 Client端獲取Server 登陸信息
7 Clinet 獲取更多用戶信息配置
?
1 環(huán)境變量
set JAVA_HOME=D:\sso\jdk1.6.0_13
set TOMCAT_HOME=D:\sso\cas-apache-tomcat-6.0.35
2 證書配置
1 創(chuàng)建
keytool -genkey -alias?zendai?-keyalg RSA -keysize 1024 -keypass changeit -validity 365 -keystore d:\sso\zendai.keystore -storepass changeit
姓氏:uc.zendai.com ?(要與訪問cas server域名相同,非常重要)
單位名稱：zendai.com
組織名：zendai
城市:SH
身份:SH
國家:CN
2 導出
keytool -export?-alias?zendai -keystore d:\sso\zendai.keystore -file?d:\sso\zendai.crt -storepass changeit
3 刪除
keytool -delete -alias zendai -keystore D:\j2ee\jdk1.6.0_30\jre\lib\security\cacerts
pwd:changeit
4 導入
keytool -import?-keystore D:\j2ee\jdk1.6.0_30\jre\lib\security\cacerts -file?d:\sso\zendai.crt -alias?zendai
pwd:changeit
5 查看所有證書
keytool -list -keystore?D:\j2ee\jdk1.6.0_30\jre\lib\security\cacerts
pwd:changeit
?
注意：
CAS 證書制作經(jīng)常容易出?PKIX path building failed:報錯
解決方法：
1 檢查導入的JDK是否是系統(tǒng)環(huán)境變量默認的JDK。
2 檢查設置環(huán)境變量的JDK證書是否導入.
3 證書導入成功確認后，確認CAS SERVER 8443路徑認證的 證書是否與導入的證書一致.
?3 Server 端
CAS的官網(wǎng)：http://www.jasig.org/cas?下載Server 端和Client端
修改 tomcat conf server.xml
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
keystoreFile="keystore/ssodemo.keystore" keystorePass="michaelpwd"
clientAuth="false" sslProtocol="TLS" URIEncoding="UTF-8" />
?
4 Client端
client端 加入 cas-core-client.jar,common-logger.jar 后修改web.xml
<!-- ======================== 單點登錄開始 ======================== -->
<!-- 用于單點退出，該過濾器用于實現(xiàn)單點登出功能，可選配置 -->
<listener>
<listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
</listener>
<!-- 該過濾器用于實現(xiàn)單點登出功能，可選配置。 -->
<filter>
<filter-name>CAS Single Sign Out Filter</filter-name>
<filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>CAS Single Sign Out Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
?
<filter>
<filter-name>CAS Filter</filter-name>
<filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
<init-param>
<param-name>casServerLoginUrl</param-name>
<param-value>https://demo.micmiu.com:8443/cas-server/login</param-value>
</init-param>
<init-param>
<param-name>serverName</param-name>
<param-value>http://app1.micmiu.com:8888</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>CAS Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- 該過濾器負責對Ticket的校驗工作，必須啟用它 -->
<filter>
<filter-name>CAS Validation Filter</filter-name>
<filter-class>
org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
</filter-class>
<init-param>
<param-name>casServerUrlPrefix</param-name>
<param-value>https://demo.micmiu.com:8443/cas-server</param-value>
</init-param>
<init-param>
<param-name>serverName</param-name>
<param-value>http://app1.micmiu.com:8888</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>CAS Validation Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
?
<!-- 該過濾器負責實現(xiàn)HttpServletRequest請求的包裹， 比如允許開發(fā)者通過HttpServletRequest的getRemoteUser()方法獲得SSO登錄用戶的登錄名，可選配置。 -->
<filter>
<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
<filter-class>
org.jasig.cas.client.util.HttpServletRequestWrapperFilter
</filter-class>
</filter>
<filter-mapping>
<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
?
<!-- 該過濾器使得開發(fā)者可以通過org.jasig.cas.client.util.AssertionHolder來獲取用戶的登錄名。 比如AssertionHolder.getAssertion().getPrincipal().getName()。 -->
<filter>
<filter-name>CAS Assertion Thread Local Filter</filter-name>
<filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>CAS Assertion Thread Local Filter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- ======================== 單點登錄結束 ======================== -->
?
CAS 動態(tài)登陸認證
1??復制所需的類庫到web應用下,如下二個jar包。
cas-server-support-jdbc-3.1.1.jar
2?配置cas/WEB-INF/目錄下的deployerConfigContext.xml 文件。
注釋掉?<bean?class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />????
增加數(shù)據(jù)源<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource" destroy-method="close">
?????? <property name="driverClassName"><value>oracle.jdbc.driver.OracleDriver</value></property>
?????? <property name="url"><value>jdbc:oracle:thin:@localhost:1521:oracle</value></property>
?????? <property name="username"><value>foundation</value></property>
?????? <property name="password"><value>foundation</value></property>
//?<property?name="passwordEncoder"?ref="MD5PasswordEncoder"/>
??? </bean>
3?改變認證方式
<bean??class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />
變?yōu)閿?shù)據(jù)庫認證方式：
<bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">
??????? <property name="sql" value="select password from app_user where username=?" />
????? <property name="dataSource" ref="dataSource" />
</bean>
?
4 添加解密方式
<bean?id="MD5PasswordEncoder"class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder">??
? ? ? ??<constructor-arg?index="0">
? ? ? ? ? ? ? ??<value>MD5</value>
? ? ? ??</constructor-arg>
</bean>
?
5 不使用HTTPS證書配置
? ? ? ? ? ??1、tomcat/webapps/cas/WEB-INF/deployerConfigContext.xml
<bean class="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsAuthenticationHandler"
????????????????????????????????????????????????????????????p:httpClient-ref="httpClient"/>
????????????增加參數(shù)p:requireSecure="false"，是否需要安全驗證，即HTTPS，false為不采用，加上去之后如下：
<bean class="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsAuthenticationHandler"
????????????????????????????????????????????????????????????p:httpClient-ref="httpClient"??p:requireSecure="false"/>
?
????????????2、Tomcat 6.0/webapps/cas/WEB-INF/spring-configuration/
ticketGrantingTicketCookieGenerator.xml
<bean id="ticketGrantingTicketCookieGenerator" class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"
?????????????????p:cookieSecure="true"
?????????????????p:cookieMaxAge="-1"
?????????????????p:cookieName="CASTGC"
?????????????????p:cookiePath="/cas" />
參數(shù)p:cookieSecure="true"，同理為HTTPS驗證相關，TRUE為采用HTTPS驗證，與deployerConfigContext.xml的參數(shù)保持一致。
參數(shù)p:cookieMaxAge="-1"，簡單說是COOKIE的最大生命周期，-1為無生命周期，即只在當前打開的IE窗口有效，IE關閉或重新打開其它窗口，仍會要求驗證。可以根據(jù)需要修改為大于0的數(shù)字，比如3600等，意思是在3600秒內，打開任意IE窗口，都不需要驗證。
?
warnCookieGenerator.xml
<bean id="warnCookieGenerator" class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"
?????????????????p:cookieSecure="true"
?????????????????p:cookieMaxAge="-1"
?????????????????p:cookieName="CASPRIVACY"
?????????????????p:cookiePath="/cas" />
兩個參數(shù)與上面同理。
?
3、TICKET的生命周期也可以在web.xml加這個參數(shù)實現(xiàn)：
<!-- Timeout for granting tickets -->
????<context-param>
????????<param-name>edu.yale.its.tp.cas.grantingTimeout</param-name>
????????<param-value>7200</param-value>
????</context-param>
? 6 Client獲取Server登陸信息
Assertion assertion = (Assertion) request.getSession().getAttribute(AbstractCasFilter.CONST_CAS_ASSERTION);
AttributePrincipal principal = assertion.getPrincipal();
?
7 獲取更多用戶信息配置
<!-- 在這里配置獲取更多的信息 -->?
<bean id="attributeRepository" class="org.jasig.services.persondir.support.jdbc.SingleRowJdbcPersonAttributeDao">?
<constructor-arg index="0" ref="dataSource" />?
<constructor-arg index="1" value="select U_id as UId,U_type as UType,U_email as UEmail from t_user where U_username=?" />?
<property name="queryAttributeMapping">?
<map>?
<entry key="username" value="uid"/><!-- 這里必須這么寫，系統(tǒng)會自己匹配。 -->?
</map>?
</property>?
<!-- 要獲取的屬性在這里配置 -->?
<property name="resultAttributeMapping">?
<map>?
<entry key="UId" value="U_id" />?
<entry key="UType" value="U_type" />?
<entry key="UEmail" value="U_email" />?
</map>?
</property>?
</bean>?
在客戶端獲取信息
???? AttributePrincipal principal = (AttributePrincipal) request.getUserPrincipal();
???? String loginName = principal.getName();//獲取用戶名
???? Map<String, Object> attributes = principal.getAttributes();
???? if(attributes != null) {
???????? System.out.println(attributes.get("U_id"));
???????? System.out.println(attributes.get("U_type"));
???????? System.out.println(attributes.get("U_email"));
???? }
?
?
CAS驗證流程:?
1.用戶瀏覽受系統(tǒng)保護的URL。?
2.CAS Client服務端收到請求，Filter攔截該請求，在Filter中判斷該用戶是否已經(jīng)登陸，如果已經(jīng)登陸，就直接進入系統(tǒng)，否則，將請求轉發(fā)到CAS Server服務端的LoginURL。?
3.在LoginURL中會獲取到用戶的Cookie，檢驗用戶是否已經(jīng)在其他相關使用SSO的系統(tǒng)登陸成功。如果已經(jīng)在其他的系統(tǒng)登陸了，則將請求轉回CAS Client，并且?guī)Щ匾粋€ticket, CAS Client再次發(fā)送請求到ValidateURL。否則，系統(tǒng)提示用戶輸入ID和PASSWORD。?
4. 提交后請求到ValidateURL，CAS Server驗證ticket的有效性。然后返回結果給CAS Client。如果ticket有效，則CAS Client應讓該用戶瀏覽受保護的資源。否則，重定向到登陸頁面，提示用戶輸入ID和PASSWORD。?
5. 校驗ID和Password是否匹配。如不匹配，再次要求用戶輸入ID和PASSWORD。否則，CAS Server記錄用戶登陸成功。并向瀏覽器回送Cookie，記錄用戶已經(jīng)登陸成功。如果瀏覽器不支持Cookie，則無法實現(xiàn)單點登陸。?
轉載于:https://www.cnblogs.com/adolfmc/archive/2012/07/23/2604303.html
總結
以上是生活随笔為你收集整理的SSO CAS 探究的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 集训的感受
- 下一篇： hdu2059:龟兔赛跑