手把手教你利用CAS实现单点登录

综合业务系统单点登录（SSO）解决方案

一.SSO(Single Sign-on)原理

SSO 分为Web-SSO和桌面SSO。桌面SSO 体现在操作系统级别上。Web-SSO体现在客户端，主要特点是：SSO 应用之间使用Web 协议( 如HTTPS) ，并且只有一个登录入口。我们所讲的SSO，指Web SSO 。

SSO 的体系中，有下面三种角色：

?User（多个）

?Web应用（多个）

?SSO认证中心（一个）

SSO 实现包含以下三个原则：

●所有的登录都在 SSO 认证中心进行。

●SSO 认证中心通过一些方法来告诉 Web 应用当前访问用户究竟是不是通过认证的

用户。

●SSO 认证中心和所有的 Web 应用建立一种信任关系。

二.CAS 的基本原理

CAS(Central Authentication Service) 是Yale 大学发起的构建Web SSO 的Java开源项目。

1.CAS术语解释

SSO－Single Sign On，单点登录

TGT－Ticket Granting Ticket，用户身份认证凭证票据

ST－Service Ticket，服务许可凭证票据

TGC－Ticket Granting Cookie，存放用户身份认证凭证票据的cookie

2.CAS 的结构体系

◆CAS Server

CAS Server 负责完成对用户信息的认证，需要单独部署，CAS Server 会处理用户名/ 密码等凭证(Credentials) 。

◆CAS Client

CAS Client部署在客户端，当有对本地Web 应用受保护资源的访问请求，并且需要对请求方进行身份认证，重定向到CAS Server 进行认证。

3.CAS 协议

基础协议

上图是一个基础的CAS 协议，CAS Client 以过滤器的方式保护Web 应用的受保护资源，过滤从客户端过来的每一个Web 请求，同时，CAS Client 会分析HTTP 请求中是否包请求Service Ticket( 上图中的Ticket) ，如果没有，则说明该用户是没有经过认证的，CAS Client 会重定向用户请求到CAS Server （Step 2 ）。Step 3 是用户认证过程，如果用户提供了正确的认证信息，CAS Server 会产生一个随机的Service Ticket ，会向User 发送一个Ticket granting cookie (TGC) 给User 的浏览器，并且重定向用户到CAS Client （附带刚才产生的Service Ticket），Step 5 和Step6 是CAS Client 和CAS Server 之间完成了一个对用户的身份核实，用Ticket 查到Username ，认证通过。

在该协议中，所有与CAS 的交互均采用SSL 协议，确保，ST 和TGC 的安全性。协议工作过程中会有2 次重定向的过程，但是CAS Client 与CAS Server 之间进行Ticket 验证的过程对于用户是透明的。

4.CAS 如何实现SSO

当用户访问Helloservice2再次被重定向到CAS Server 的时候，CAS Server 会主动获到这个TGC cookie ，然后做下面的事情：

1)如果User 的持有TGC 且其还没失效，那么就走基础协议图的Step4 ，达到了

SSO 的效果。

2)如果TGC 失效，那么用户还是要重新认证( 走基础协议图的Step3) 。

5.CAS服务器接口

三.准备工作

1.准备工具

2.配置环境

四.HTTPS验证配置

CAS Server 是一套基于Java 实现的服务，该服务以一个Java Web Application 单独部署在与servlet2.3 兼容的Web 服务器上，另外，由于Client 与CAS Server 之间的交互采用Https 协议，因此部署CAS Server 的服务器还需要支持SSL 协议。

注：证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；本教程由于是演示所以就自己用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供机构去申请，证书认证一般都是由VeriSign认证

1.生成服务端密钥文件

登录服务器打开一个CMD窗口（开始菜单-> 运行输入cmd后回车）并切换到tomcat安

装目录下（如：c:\tomcat-cas），执行如下命令：

keytool -genkey -alias casserver -keypass demosso -keyalg RSA -keystore

casserver.keystore -validity 365

执行后，可以看到tomcat安装目录下生成了一个casserver.keystore文件。如下图：

说明：-alias指定别名为casserver；-keyalg指定RSA算法；-keypass指定私钥密码；

-keystore指定密钥文件名称为casserver.keystore；-validity指定有效期为365天。另外提示的输入keystore密码应与-keypass指定的相同；您的名字与姓氏是CAS服务器使用的

域名（不能是IP，也不能是localhost），其它项随意填。

注意：服务器上如果有多个JDK，请确认环境变量中的JDK路径为tomcat所使用的JDK，如果不在环境变量中，也可切换到指定JDK的bin目录下执行命令；提示的输入keystore 密码应与-keypass必须与指定的相同，否则后面tomcat启动会报IO异常（Cannot recover key）。

2.生成服务端证书

根据以上生成的服务端的密钥文件可以导出服务端证书，执行以下命令：

keytool -export -alias casserver -storepass demosso -file casserver.cer -keystore casserver.keystore

执行后，可以看到tomcat安装目录下生成了一个casserver.cer文件。如下图：

说明：-alias指定别名为casserver；-storepass指定私钥为demosso；-file指定导出证书

的文件名为casserver.cer；-keystore指定之前生成的密钥文件的文件名。

注意：-alias和-storepass必须为生成casserver.keystore密钥文件时所指定的别名和密码，否则证书导出失败，报如下错误：

3.导入证书文件到cacerts 密钥库文件

导入以上生成的服务端的证书文件到一个cacerts密钥库文件，执行以下命令：

keytool -import -trustcacerts -alias casserver-storepass demosso -file

casserver.cer–keystore cacerts

执行后，可以看到tomcat安装目录下生成了一个cacerts文件。如下图：

如果java的安装目录有空格，执行这句会报错，我的做法是先把jdk中的cacerts拷贝到根目录下，再执行export操作

4.服务端Tomcat配置

在制作完成密钥文件、证书文件、密钥库文件后即可进行服务端Tomcat的配置。打开$CATALINA_HOME/conf/server.xml文件，注释掉如下代码段：

redirectPort="8443"/>

并取消注释代码段，修改后如下：

说明：port一般为8443或443，最常用的是443端口（https默认端口），这样https方式访问的时候可以不加端口号（如：https://https://www.360docs.net/doc/e512524781.html,/cas/login）；keystoreFile 为tomcat 目录下的密钥文件；keystorePass为私钥密码；truststoreFile为生成的信任文件，如果此处不指定则默认为$JAVA_HOME/jre/lib/security/cacerts文件；其它属性默认即可。

5.生成客户端密钥库文件

单向认证的客户端配置只需生成客户端信任文件caserts即可。首先将服务端生成的证书文件（之前生成的casserver.cer文件）复制到$JAVA_HOME/jre/lib/security下，然后打开

CMD窗口切换到$JAVA_HOME/jre/lib/security下并执行命令：

keytool -import -trustcacerts -alias casclient-storepass ssoclient -file casserver.cer

-keystore cacerts

执行后，可以看到$JAVA_HOME/jre/lib/security目录下生成了一个cacerts文件。如下图：

到这里 SSL协议配置完成了。如果显示密码错误，请使用 changeit ，这个是jdk默认的证书密码

五.CAS验证服务器配置

1. 安装CAS服务器

1.解压cas-server-3.5.

2.1-release.zip到磁盘（我的路径为

D:\cas-server-3.5.2.1），进入D:\cas-erver-3.5.2.1\modules文件夹下，把

cas-server-webapp-3.5.2.1.war拷贝到Tomcat安装目录的（我的路径为

D:\apache-tomcat-7.0.52）webapps文件夹下。为了方便在浏览器中浏览，

把cas-server-webapp-3.5.2.1.war文件名修改为cas.war。

2.运行Tomcat。在浏览器中输入http://10.12.21.45:8080/cas，显示登录界面。

输入用户名和密码（用户名和密码相等即可），登录成功。这样最简单的CAS

验证服务器搭配成功。

Modules文件夹截图

2. 配置数据库验证方式

1、复制D:\cas-server-3.5.2.1\modules下面cas-server-support-jdbc-3.5.2.1.jar到D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\lib下。数据库为Oracle，因此把Oracle驱动包也复制到lib文件夹下。ojdbc14.jar

2、打开D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\deployerConfigContext.xml文件，在

在该文件中搜索“SimpleTestUsernamePasswordAuthenticationHandler”

这是cas提供的最简单的验证方式，即用户名和密码相等即可登录成功。

我们的登录用户名和密码存在于uc_employee表中，信息如下：

密码是经过加密的。因此使用我们自己编写的加密类：

1 新建一个Java项目，引入cas-server-core-3.4.5.jar包，

2 新建一个Java类，实现org.jasig.cas.authentication.handler.PasswordEncoder接口中的public String encode(String arg0)方法,这是用来对输入的密码进行加密，我这里命名为：MinxinLoan5CASMD5

3 在encode()方法中可以根据实际的加密方式编写代码。

编写完毕后，建议进行测试，避免错误发生。然后把该项目导出成jar包，并且把jar包拷贝到D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\lib下。然后添加我们自己的加密bean：

而后把上面的SimpleTestUsernamePasswordAuthenticationHandler bean给删除掉，添加如下信息：

重启服务器，测试。

3. 服务器端超时配置

打开D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\spring-configuration\目录中的applicationContext.xml文件，修改如下部分信息：

修改我们所需要的超时时间。

4. CAS 取消HTTPS 验证配置

CAS 取消HTTPS 验证之后则可以使用HTTP协议进行CAS服务器和Client之间单点登录，安全性低，CAS不建议这样做，但是若在局域网内部使用的话，但用无妨。这样做的话，前面有关服务器端/Client端tomcat的https/ssl配置也可以不用做了。

1、修改cas server 下\WEB-INF\deployerConfigContext.xml 文件

class="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsA uthenticationH

andler" p:httpClient-ref="httpClient" p:requireSecure="false"/>

增加参数p:requireSecure="false"，是否需要安全验证，即HTTPS，false 为不采用。

2、修改cas server下\WEB-INF\spring-configuration\ticketGrantingTicketCookieGenerator.xml

文件

xmlns:xsi="https://www.360docs.net/doc/e512524781.html,/2001/XMLSchema-instance"

xmlns:p="https://www.360docs.net/doc/e512524781.html,/schema/p"

xsi:schemaLocation="https://www.360docs.net/doc/e512524781.html,/schema/beans

https://www.360docs.net/doc/e512524781.html,/schema/beans/spring-beans-2.0.xsd">

Defines the cookie that stores the TicketGrantingTicket. You most likely should never

modify these (especially the "secure" property).

You can change the name if you want to make it harder for people to guess.

id="ticketGrantingTicketCookieGenerator"

class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"

p:cookieSecure="false"

p:cookieMaxAge="-1"

p:cookieName="CASTGC"

p:cookiePath="/cas" />

参数p:cookieSecure="true"，TRUE 为采用HTTPS 验证，与deployerConfigContext.xml 的参数

保持一致。

参数p:cookieMaxAge="-1"，简单说是COOKIE 的最大生命周期，-1 为无生命周期，即只在当

前打开的IE 窗口有效，IE 关闭或重新打开其它窗口，仍会要求验证。可以根据需要修改为

大于0 的数字，比如3600 等，意思是在3600 秒内，打开任意IE 窗口，都不需要验证。

3、修改cas server 下\WEB-INF\spring-configuration\warnCookieGenerator.xml 文件

class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"

p:cookieSecure="true"

p:cookieMaxAge="-1"

p:cookieName="CASPRIVACY"

p:cookiePath="/cas" />

两个参数与上面同理。

六.修改界面

1.修改验证通过后显示提示信息的界面

修改D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\view\jsp\default\ui\ casGenericSuccess.jsp页面，添加如下内容调转到指定页面

<%

response.sendRedirect("http://192.168.9.111:8080/minxinloan/welcome/

/error.do");

%>

2.定义自己的验证界面

cas给我们提供了一个"default" 界面，该界面比较简单，而且也不怎么漂亮，因此我们需要定制自己的验证界面。下面介绍一下如何设计自己的界面。

1 进入D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\view\jsp，把default文件夹复制一份在本目录下，这里我把文件夹修改为minxinloan。

2 进入D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\view\jsp\minxinloan\ui。在该目录下你将会看到如下文件：

如果想修改界面，我建议我们首先熟悉里面所有的jsp页面。重点是casLoginView.jsp还有includes目录下的两个文件。

我们在修改时尽量不要修改forms和逻辑标签。除非我们比较熟悉他们。如果我们定义的

页面中含有样式表，可直接修改D:\apache-tomcat-7.0.52\webapps\cas\themes\default目录下的cas.css文件。当然我们也可以自己创建一个css文件，个人建议也把文件放到D:\apache-tomcat-7.0.52\webapps\cas\themes中，可新建一个目录比如minxinloan。接着我们要修改jsp页面中的引用路径。打开D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\view\jsp\

minxinloan\ui\includes\top.jsp文件。找到如下代码：

我们需要standard.custom.css.file的值。该值存在于

D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\classes\cas-theme-default.proper ties文件中。修改为我们的路径。

引用的图片也需要注意相对路径和绝对路径。

3 进入D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\classes目录，复制default_views.properties，我这里重新命名为minxinloan_views.properties。打开该文件，修改页面路径，我这里是把default全部替换为minxinloan。

注意：该目录下存在很多messages_*.properties文件，主要是为了国际化。我把不需要的语言给删除掉。同时修改messages_zh_CN.properties文件中的信息，使得提示信息更加符合我们的需求。这个文件我是在Eclipse中修改的。我的Eclipse安装了PropertiesEditor插件。

4 打开D:\apache-tomcat-7.0.52\webapps\cas\WEB-INF\cas.properties文件，把cas.viewResolver.basename=default_views

修改为

cas.viewResolver.basename=minxinloan_views

5 启动服务器，测试下效果。有可能显示原来的界面，可尝试把D:\apache-tomcat-7.0.52\ work\Catalina 目录下的文件夹清空掉。

七.业务系统配置

1.添加jar包

解压cas-client-3.2.1-release.zip到磁盘上，我这里放在D盘中。并且把D:\cas-client-3.2.1\modules目录中的所有jar包拷贝到我们业务系统中。注意删除重复的jar包。

2.导入证书

我们需要把CAS验证服务器上生成的server.cer的证书导入到我们业务系统JDK上。

注意：根据JDK和JRE的安装路径进行相应的修改，如果没有安装JRE，则第一条命令不需要执行。

3.配置业务系统web.xml文件

在业务系统的web.xml中添加如下配置信息