CAS单点登录（客户端、服务端）搭建

港控/mmm° 2022-04-08 11:40 1474阅读 0赞

## 一、单点登录简介 ##

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

CAS 是一个开源的企业级单点登录系统，CAS 包含两个部分：CAS Server 和 CAS Client，它们之间独立部署。CAS 客户端拦截未认证的用户请求，并重定向至 CAS 服务端，由 CAS 服务端对用户身份进行统一认证。

## 二、服务端搭建 ##

对于搭建 CAS 服务端，CAS官方网站提供了基于 Maven 和 Gradle 的 Overlay 构建方式：具体见

1)Maven: [https://github.com/apereo/cas-overlay-template][https_github.com_apereo_cas-overlay-template]

2)Gradle:[https://github.com/apereo/cas-gradle-overlay-template][https_github.com_apereo_cas-gradle-overlay-template]

本文使用的是 CAS Maven WAR Overlay。Overlay 技术可以把多个项目 war 合并成为一个项目，如果项目存在同名文件，那么主项目中的文件将覆盖掉其他项目的同名文件。使用 Overlay 无需对 CAS 源码进行编译，也避免了对 CAS 源码进行侵入性改造。

1、搭建环境

JDK 1.8  
Tomcat 8.0+  
IntelliJ IDEA 2017.2

2、OverLay构建

打开 Project Structure，可以观察到该工程具有两个 Web Root，但是 src/main/webapp 目录并不存在，需要进行手动创建。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70][]

拷贝 overlays 目录下的 application.properties 配置文件至 resources 目录，用于覆盖 CAS WAR 中的同名文件。最终工程目录结构如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 1][]

启动tomcat（可以内置或者外置），本文是使用了外置tomcat。

启动成功后，访问 [http://localhost][http_localhost]:8080/cas/login 进入登录界面。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 2][]

注：

`Non-secure Connection`提示需要配置 SSL，

`Static Authentication`提示需要对用户配置进行修改，可以修改为 JDBC、REST 等方式。

目前用户配置写死在 application.properties 配置文件中，用户名为 casuser，密码为 Mellon。

3、配置services

客户端接入 CAS 首先需要在服务端进行注册，否则客户端访问将提示“未认证授权的服务”警告。

在 resources 文件夹下创建 services 文件夹进行服务定义，该目录中可包含多个 JSON 文件，其命名必须满足以下规则：

JSON fileName = serviceName + "-" + serviceNumericId + ".json"

创建 services/localhost-10000003.json 文件，表示允许所有以 [http://localhost][http_localhost] 开头的认证请求：

{
      "@class": "org.apereo.cas.services.RegexRegisteredService",
      "serviceId": "^(http)://localhost.*",
      "name": "localhost",
      "id": 10000003,
      "description": "这是一个本地允许的服务，通过localhost访问都允许通过",
      "evaluationOrder": 1
    }

说明：

@class：必须为org.apereo.cas.services.RegisteredService的实现类  
serviceId：对服务进行描述的表达式，可用于匹配一个或多个 URL 地址  
name： 服务名称  
id：全局唯一标志  
evaluationOrder：定义多个服务的执行顺序

然后修改application.properties 文件告知 CAS 服务端从本地加载服务定义文件

#开启识别json文件，默认false
    cas.serviceRegistry.initFromJson=true
    #自动扫描服务配置，默认开启
    #cas.serviceRegistry.watcherEnabled=true
    #120秒扫描一遍
    #cas.serviceRegistry.repeatInterval=120000
    #延迟15秒开启
    #cas.serviceRegistry.startDelay=15000
    #资源加载路径
    #cas.serviceRegistry.config.location=classpath:/services

重新启动tomcat，出现如下日志，说明服务注册成功。

2018-03-18 23:36:08,660 INFO [org.apereo.cas.services.AbstractServicesManager] - <Loaded [0] service(s) from [InMemoryServiceRegistry].>
    2018-03-18 23:36:08,876 INFO [org.apereo.cas.config.CasServiceRegistryInitializationConfiguration] - <Attempting to initialize the service registry [InMemoryServiceRegistry] from service definition resources found at [class path resource [services]]>
    2018-03-18 23:36:08,877 WARN [org.apereo.cas.services.ServiceRegistryInitializer] - <Service registry [InMemoryServiceRegistry] will be auto-initialized from JSON service definitions. This behavior is only useful for testing purposes and MAY NOT be appropriate for production. Consider turning off this behavior via the setting [cas.serviceRegistry.initFromJson=false] and explicitly register definitions in the services registry.>
    2018-03-18 23:36:09,283 INFO [org.apereo.cas.services.AbstractServicesManager] - <Loaded [3] service(s) from [InMemoryServiceRegistry].>

## 三、搭建客户端 ##

CAS官方网站上有CAS-client的案例，见[https://apereo.github.io/cas/5.2.x/integration/CAS-Clients.html][https_apereo.github.io_cas_5.2.x_integration_CAS-Clients.html]

亦可参考：[https://github.com/cas-projects/cas-sample-java-webapp][https_github.com_cas-projects_cas-sample-java-webapp]，本文是参考了后者搭建的。

修改 pom.xml，修改 tomcat7-maven-plugin 设置访问地址为`http://localhost:8181/node1`：

<plugin>
        <groupId>org.apache.tomcat.maven</groupId>
        <artifactId>tomcat7-maven-plugin</artifactId>
        <version>2.2</version>
        <configuration>
            <port>8181</port>
            <uriEncoding>UTF-8</uriEncoding>
            <server>tomcat7</server>
            <path>/node1</path>
        </configuration>
    </plugin>

CAS Client 通过拦截器将未认证的请求重定向到 CAS Server，这里对 cas-sample-java-webapp 的 web.xml 文件进行修改，将服务端、客户端地址替换为实际测试的地址：

<?xml version="1.0" encoding="UTF-8"?>
    <web-app version="2.4" xmlns="http://java.sun.com/xml/ns/j2ee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd">
    
    
        
        <filter>
            <filter-name>CAS Single Sign Out Filter</filter-name>
            <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
            <init-param>
                <param-name>casServerUrlPrefix</param-name>
                <param-value>http://localhost:8080/cas</param-value>
            </init-param>
        </filter>
    
        <listener>
            <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
        </listener>
    
        
        <filter>
            <filter-name>CAS Authentication Filter</filter-name>
            
            <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
            <init-param>
                <param-name>casServerLoginUrl</param-name>
                <param-value>http://localhost:8080/cas/login</param-value>
            </init-param>
            <init-param>
                <param-name>serverName</param-name>
                
                <param-value>http://localhost:8181/node1</param-value>
            </init-param>
        </filter>
    
        
        <filter>
            <filter-name>CAS Validation Filter</filter-name>
            
            <filter-class>org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter</filter-class>
            <init-param>
                <param-name>casServerUrlPrefix</param-name>
                <param-value>http://localhost:8080/cas</param-value>
            </init-param>
            <init-param>
                <param-name>serverName</param-name>
                <param-value>http://localhost:8181/node1</param-value>
            </init-param>
            <init-param>
                <param-name>redirectAfterValidation</param-name>
                <param-value>true</param-value>
            </init-param>
            <init-param>
                <param-name>useSession</param-name>
                <param-value>true</param-value>
            </init-param>
            <init-param>
                <param-name>authn_method</param-name>
                <param-value>mfa-duo</param-value>
            </init-param>
        </filter>
    
        
        <filter>
            <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
            <filter-class>org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
        </filter>
    
        
        
    
        <filter-mapping>
            <filter-name>CAS Single Sign Out Filter</filter-name>
            <url-pattern>/*</url-pattern>

运行该tomcat，登录http://localhost:8081/node1，网页如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 3][]

输入密码登录成功后的网页如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 4][]

利用相同的方法配置第二个客户端，访问地址为`http://localhost:8288/node2`，可知在 node1 登录成功的情况下，无需再次输入用户密码即可访问 node2 后台页面。

参考文章：

[https://apereo.github.io/cas/5.2.x/installation/Maven-Overlay-Installation.html][https_apereo.github.io_cas_5.2.x_installation_Maven-Overlay-Installation.html]

[https://segmentfault.com/a/1190000013844049][https_segmentfault.com_a_1190000013844049]

[https://www.cnblogs.com/flying607/p/7600947.html][https_www.cnblogs.com_flying607_p_7600947.html]

[https://github.com/apereo/cas/tree/4.0.x][https_github.com_apereo_cas_tree_4.0.x]

[https_github.com_apereo_cas-overlay-template]: https://github.com/apereo/cas-overlay-template
[https_github.com_apereo_cas-gradle-overlay-template]: https://github.com/apereo/cas-gradle-overlay-template
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70]: /images/20220405/61c42e18c55240adbb7dad812765def3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 1]: /images/20220405/3d62e3dba93247a5a60871f53121b753.png
[http_localhost]: http://localhost/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 2]: /images/20220405/0b1e8bd568b84dcca4770c9180a88b81.png
[https_apereo.github.io_cas_5.2.x_integration_CAS-Clients.html]: https://apereo.github.io/cas/5.2.x/integration/CAS-Clients.html
[https_github.com_cas-projects_cas-sample-java-webapp]: https://github.com/cas-projects/cas-sample-java-webapp
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 3]: /images/20220405/cf9c6559d2f545c0806e4a65f7a2ba55.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoYW84MjE_size_16_color_FFFFFF_t_70 4]: /images/20220405/eb858b46d7ee4854be1cb2f3b753344e.png
[https_apereo.github.io_cas_5.2.x_installation_Maven-Overlay-Installation.html]: https://apereo.github.io/cas/5.2.x/installation/Maven-Overlay-Installation.html
[https_segmentfault.com_a_1190000013844049]: https://segmentfault.com/a/1190000013844049
[https_www.cnblogs.com_flying607_p_7600947.html]: https://www.cnblogs.com/flying607/p/7600947.html
[https_github.com_apereo_cas_tree_4.0.x]: https://github.com/apereo/cas/tree/4.0.x