单点登录-CAS基础入门

1.什么是单点登录

单点登录​​(SingleSignOn​​​，简称为​​SSO​​​，是目前比较流行的企业业务整合的解决方案之一。
SSO的定义是在多个应用系统(分布式应用)中，用户只需要登录一次就可以访问所有相互信任的应用系统。

SSO含义：
在一个分布式系统中，假设有很多个子系统，那么只要在一个子系统登录成功，所有的系统就自动全部登录成功！只要在一个在子系统中退出，那么所有的系统自动退出！

我们目前的系统存在诸多子系统，而这些子系统是分别部署在不同的服务器中，那么使用传统方式的session是无法解决的，我们需要使用相关的单点登录技术来解决。

SSO中文单点登录，如何实现单点登录功能?

需要CAS这个开源框架来实现！ SSO术语 CAS是实现单点登录的一个框架！

2.什么是CAS

SSO是单点登录名词: CAS是实现单点登录SSO的一种框架！

CAS是Yale大学发起的一个开源项目，旨在为Web应用系统提供一种可靠的单点登录方法，CAS在2004年12月正式成为JA-SIG的一个项目。CAS具有以下特点：

【1】开源的企业级单点登录解决方案。
【2】CASServer为需要独立部署的Web应用。认证服务器！
【3】CASClient支持非常多的客户端(要登录的子系统)(这里指单点登录系统中的各个Web应用)，包括Java,.Net,PHP,Perl,Apache,uPortal,Ruby等。

从结构上看，CAS包含两个部分：​​CASServer​​​和​​CASClient​​​。​​CASServer​​​需要独立部署，主要负责对用户的认证工作；CASClient负责处理对客户端受保护资源的访问请求，需要登录时，重定向到CASServer。下图是CAS最基本的协议过程：

SSO单点登录访问流程主要有以下步骤：

1. 访问服务：SSO客户端发送请求访问应用系统提供的服务资源。
2. 定向认证：SSO客户端会重定向用户请求到SSO服务器。
3. 用户认证：用户身份认证。
4. 发放票据：SSO服务器会产生一个随机的Service Ticket。
5. 验证票据：SSO服务器验证票据Service Ticket的合法性，验证通过后，允许客户端访问服务。
6. 传输用户信息：SSO服务器验证票据通过后，传输用户认证结果信息给客户端。

3.CAS服务端部署

Cas服务端其实就是一个war包。
​​​cas-server-4.0.0-release\cas-server-4.0.0\modules​​​目录下
​​​cas-server-webapp-4.0.0.war​​​ 将其改名为cas.war放入​​tomcat​​​目录下的​​webapps​​​下。启动tomcat自动解压war包。浏览器输入​​http://localhost:8080/cas/login​​​ ，可看到登录页面

不要嫌弃这个页面丑，我们后期可以再提升它的颜值。暂时把注意力放在功能实现上。
这里有个固定的用户名和密码 ​​​casuser​​​ /​​Mellon​​​ 登录成功后会跳到登录成功的提示页面！

添加登陆的用户:


在此配置文件中添加用户！

4.CAS服务端配置

4.1.端口修改

如果我们不希望用8080端口访问CAS, 可以修改端口

（1）修改TOMCAT的端口

打开tomcat 目录 conf\server.xml 找到下面的配置
将端口8080，改为9999

（2）修改CAS配置文件
修改cas的​​​WEB-INF/cas.properties​​​

4.2.cas如何去掉HTTPS认证

CAS默认使用的是HTTPS协议，如果使用HTTPS协议需要SSL安全证书（需向特定的机构申请和购买） 。如果对安全要求不高或是在开发测试阶段，可使用HTTP协议。我们这里讲解通过修改配置，让CAS使用HTTP协议。

（1）修改cas的​​WEB-INF/deployerConfigContext.xml​​​ 找到下面的配置

这里需要增加参数p:requireSecure=“false”，requireSecure属性意思为是否需要安全验证，即HTTPS，false为不采用

（2）修改cas的​​/WEB-INF/spring-configuration/ticketGrantingTicketCookieGenerator.xml​​ 找到下面配置

参数p:cookieSecure=“true”，同理为HTTPS验证相关，TRUE为采用HTTPS验证，FALSE为不采用https验证。
参数p:cookieMaxAge="-1"，是COOKIE的最大生命周期，-1为无生命周期，即只在当前打开的窗口有效，关闭或重新打开其它窗口，仍会要求验证。可以根据需要修改为大于0的数字，比如3600等，意思是在3600秒内，打开任意窗口，都不需要验证。

（3）修改cas的​​​WEB-INF/spring-configuration/warnCookieGenerator.xml​​​ 找到下面配置

5.CAS服务端数据源设置

5.1.需求分析

我们现在让用户名密码从我们的​​tb_user​​表里做验证

5.2.配置数据源

（1）修改cas服务端中web-inf下​​deployerConfigContext.xml​​​ ，添加如下配置

<!--数据源-->
<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"  
    p:driverClass="com.mysql.jdbc.Driver"  
    p:jdbcUrl="jdbc:mysql://127.0.0.1:3306/easygodb?characterEncoding=utf8"  
    p:user="root"  
    p:password="123456" /> 
    
  <!--密码加密处理-->  
<bean id="passwordEncoder" class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder"  
c:encodingAlgorithm="MD5"  
p:characterEncoding="UTF-8" />  
    
<!--数据库认证 -->     
<bean id="dbAuthHandler"  
  class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler"  
  p:dataSource-ref="dataSource"  
  p:sql="select password from tb_user where username=? and del=0"  
  p:passwordEncoder-ref="passwordEncoder"/>

然后在配置文件开始部分找到如下配置

<bean id="authenticationManager" class="org.jasig.cas.authentication.PolicyBasedAuthenticationManager">
        <constructor-arg>
            <map>               
                <entry key-ref="proxyAuthenticationHandler" value-ref="proxyPrincipalResolver" />
                <entry key-ref="primaryAuthenticationHandler" value-ref="primaryPrincipalResolver" />
            </map>
        </constructor-arg>      
        <property name="authenticationPolicy">
            <bean class="org.jasig.cas.authentication.AnyAuthenticationPolicy" />
        </property>
</bean>

其中

<entry key-ref="primaryAuthenticationHandler" value-ref="primaryPrincipalResolver" />

一句是使用固定的用户名和密码，我们在下面可以看到这两个bean ,如果我们使用数据库认证用户名和密码，需要将这句注释掉。

添加下面这一句配置

<entry key-ref="dbAuthHandler" value-ref="primaryPrincipalResolver"/>

（2）将以下三个jar包放入​​​webapps\cas\WEB-INF\lib​​​下

用数据库中的用户名和密码进行测试！

6.CAS服务端界面改造

6.1.需求分析

我们现在动手将CAS默认的登录页更改为自己的登陆页

6.2.改头换面

6.2.1.拷贝资源

（1）将易购商城的登陆页login.html拷贝到cas系统下WEB-INF\view\jsp\default\ui 目录下
（2）将css js等文件夹拷贝到 cas目录下
（3） 将原来的casLoginView.jsp 改名（可以为之后的修改操作做参照），将login.html改名为casLoginView.jsp

6.2.2.修改页面

编辑​​casLoginView.jsp​​​内容
（1）添加指令

<%@ page pageEncoding="UTF-8" %>
<%@ page contentType="text/html; charset=UTF-8" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ taglib prefix="spring" uri="http://www.springframework.org/tags" %>
<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>
<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %>

（2）修改form标签

<form:form method="post" id="fm1" commandName="${commandName}" htmlEscape="true" class="sui-form">
......
</form:form>

（3）修改用户名框

<form:input id="username" tabindex="1" 
                    accesskey="${userNameAccessKey}" path="username" autocomplete="off" htmlEscape="true" 
                    placeholder="邮箱/用户名/手机号" class="l_user" />

（4）修改密码框

<form:password  id="password" tabindex="2" path="password" 
                    accesskey="${passwordAccessKey}" htmlEscape="true" autocomplete="off" 
                    placeholder="请输入密码" class="l_pwd"   />

（5）修改登陆按钮

<input type="hidden" name="lt" value="${loginTicket}" />
<input type="hidden" name="execution" value="${flowExecutionKey}" />
<input type="hidden" name="_eventId" value="submit" />
<input class="XXXX" accesskey="l" value="登陆" type="submit" />

6.2.3.错误提示

在表单内加入错误提示框

<form:errors path="*" id="msg" cssClass="errors" element="div" htmlEscape="false" />

测试：输入错误的用户名和密码，提示是英文。这个提示信息是在​​WEB-INF\classes​​​目录下的​​messages.properties​​文件中

authenticationFailure.AccountNotFoundException=Invalid credentials.
authenticationFailure.FailedLoginException=Invalid credentials.

设置国际化为zh_CN ,修改cas-servlet.xml

<bean id="localeResolver" class="org.springframework.web.servlet.i18n.CookieLocaleResolver" p:defaultLocale="zh_CN" />

我们需要将此信息拷贝到​​​messages_zh_CN.properties​​下，并改为中文提示（转码）

authenticationFailure.AccountNotFoundException=\u7528\u6237\u4E0D\u5B58\u5728.
authenticationFailure.FailedLoginException=\u5BC6\u7801\u9519\u8BEF.

第一个是用户名不存在时的错误提示
第二个是密码错误的提示