CAS单点登录应用(转) -

xphwv

浏览: 45341 次
性别:
来自: 北京

最近访客更多访客>>

a87645759

wj850102

ohjone2013

qq421606162

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

CAS单点登录应用(转)

博客分类：

开源Java

一．基础知识点
1.CAS Server 是一套基于 Java 实现的服务，该服务以一个 Java Web Application 单独部署
在与 servlet2.3 兼容的 Web 服务器上，另外，由于 Client 与 CAS Server 之间的交互采用
Https 协议，因此部署 CAS Server 的服务器还需要支持 SSL 协议。

2.HTTPS的全称是Secure Hypertext Transfer Protocol（安全超文本传输协议），
是在http协议基础上增加了使用SSL加密传送信息的协议。它是一个安全通信通道，它基于HTTP开发，
用于在客户计算机和服务器之间交换信息。它使用安全套接字层(SSL)进行信息交换。
HTTPS和HTTP的区别：
https协议需要到ca申请证书，一般免费证书很少，需要交费。
http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议
http和https使用的是完全不同的连接方式用的端口也不一样,前者是80,后者是443。
http的连接很简单,是无状态的.
HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议要比http协议安全.

3.如果希望 Tomcat 支持 Https，主要的工作是配置 SSL 协议，其配置过程和配置方法可以
参考 Tomcat 的相关文档。不过在生成证书的过程中，会有需要用到主机名的地方，CAS 建议
不要使用 IP 地址，而要使用机器名或域名。
配置本地虚拟域名：修改C:\Windows\System32\drivers\etc\hosts，
添加内容如下：127.0.0.1 sso.wsria.com
这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机.

4.证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；
以下演示是用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去
证书提供商去购买，证书认证一般都是由VeriSign认证，
中文官方网站：http://www.verisign.com/cn/

二．证书应用

1.用JDK自带的keytool工具生成证书：
命令：keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey

Keytool使用举例：
命令：keytool -genkey -alias tomcat -keyalg RSA -keystore d:\mykeystore
-dname "CN=localhost, OU=localhost, O=localhost, L=SH, ST=SH, C=CN"
-keypass changeit -storepass -validity 180
参数说明：
-genkey表示要创建一个新的密钥
-dname表示密钥的Distinguished Names，
CN=commonName （域名：建议使用配置的域名，也可使用localhost）
OU=organizationUnit
O=organizationName
L=localityName
S=stateName
C=country
Distinguished Names表明了密钥的发行者身份
-keyalg使用加密的算法，这里是RSA
-alias密钥的别名
-keypass私有密钥的密码，这里设置为changeit
-keystore 密钥保存在D:盘目录下的mykeystore文件中
-storepass 存取密码，这里设置为changeit，这个密码提供系统从mykeystore文件中将信息取出
-validity该密钥的有效期为 180天 (默认为90天)

2.导出证书
命令：D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey
输入密码为上面生成证书时输入的密码（keystore）

3.为客户端的JVM导入证书
命令：keytool -import -keystore "%JAVA_HOME%/jre/lib/security/cacerts"
-file D:/keys/wsria.crt -alias wsria

导入证书时出现java.io.IOException: Keystore was tampered with, or password was incorrect
异常的解决办法：
输入保护密码，默认的就是changeit。

4.应用证书到Web服务器-Tomcat
启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议，
打开tomcat目录的conf/server.xml文件，开启83和87行的注释代码，
并设置keystoreFile、keystorePass修改结果如下：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" 
               keystoreFile="D:/keys/wsriakey"
              keystorePass="keystore"
/>

参数说明：
keystoreFile：在第一步创建的key存放位置.
keystorePass：创建证书时的密码.

Tomcat的SSL启用完成后，输入地址：https://sso.wsria.com:8443/访问。

三．部署CAS服务器
1.CAS服务端下载：http://www.jasig.org/cas/download

2.下载完成后将cas-server-3.4.3.1.zip 解压，
解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war，改名为cas，
然后复制cas目录到你的tomcat/webapp目录下.

3.现在可以访问CAS应用了，当然要使用HTTPS加密协议访问，
https://sso.wsria.com:8443/cas/login，打开了CAS服务器的页面输入admin/admin点击登录。

4. 后台数据库身份验证
以上只是简单的身份验证，下面介绍CAS服务器如何配置数据库信息进行身份验证。
（1）首先打开tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml文件，配置的地方如下：
注释掉：SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler类，配置如下代码：

<bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">
 <property name="dataSource" ref="dataSource" />
 <property name="sql" value="select password from t_admin_user where login_name=?"/>
 <property name="passwordEncoder" ref="MD5PasswordEncoder"/>
</bean>

在文件的末尾之前加入如下代码：

<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
   <property name="driverClassName"><value>com.mysql.jdbc.Driver</value></property>
   <property name="url"><value>jdbc:mysql:///wsriademo</value></property>
   <property name="username"><value>root</value></property>
   <property name="password"><value>root</value></property>
</bean> 
<bean id="MD5PasswordEncoder" 
   class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder">  
  <constructor-arg index="0">
   <value>MD5</value>
  </constructor-arg>
</bean>

（2）复制cas-server-3.4.3.1\modules\cas-server-support-jdbc-3.4.3.1.jar
和mysql驱动jar包到tomcat/webapp/cas/WEB-INF/lib目录。

配置解释：
sql语句就是查询哪一张表，本例根据t_admin_user表的login_name字段查询密码，
CAS会匹配用户输入的密码，如果匹配则通过；下面是t_admin_user的表结构：
CREATE TABLE t_admin_user (
id BIGINT NOT NULL AUTO_INCREMENT,
email VARCHAR(255),
login_name VARCHAR(255) NOT NULL UNIQUE,
name VARCHAR(255),
password VARCHAR(255),
PRIMARY KEY (id)
) ENGINE=InnoDB;
passwordEncoder：处理密码的加密，根据数据库保存的是明码还是加密过的进行选择配置。
cas内置了MD5的功能所以只需要配置一下就可以了.实际应用中可使用自定义的加密算法，
实现方式也比较简单，创建一个类继承org.jasig.cas.authentication.handler.PasswordEncoder，
然后在encode方法中加密用户输入的密码然后返回即可。

四．配置CAS客户端
1. 下载cas-client，地址：http://www.ja-sig.org/downloads/cas-clients/，
在modules文件夹中有需要的jar包，将cas-client-core-3.2.1.jar包拷贝到客户端应用中。
或使用以下maven配置：

<dependency>
 <groupId>org.jasig.cas.client</groupId>
 <artifactId>cas-client-core</artifactId>
 <version>3.1.12</version>
</dependency>

2.在web.xml文件中进行如下配置：

<!-- 用于单点退出，该过滤器用于实现单点登出功能，可选配置-->	
<listener>
	<listener-class>
		org.jasig.cas.client.session.SingleSignOutHttpSessionListener
	</listener-class>
</listener>
<!-- 该过滤器用于实现单点登出功能，可选配置。 -->
<filter>
	<filter-name>CAS Single Sign Out Filter</filter-name>
	<filter-class>
		org.jasig.cas.client.session.SingleSignOutFilter
	</filter-class>
</filter>
<filter-mapping>
	<filter-name>CAS Single Sign Out Filter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- 该过滤器负责用户的认证工作，必须启用它 -->
<filter>
	<filter-name>CASFilter</filter-name>
	<filter-class>
		org.jasig.cas.client.authentication.AuthenticationFilter
	</filter-class>
	<init-param>
		<param-name>casServerLoginUrl</param-name>
		<param-value>
			https://localhost:8443/cas/login
		</param-value>
		<!--这里的server是服务端的IP-->
	</init-param>
	<init-param>
		<param-name>serverName</param-name>
		<param-value>http://localhost:8080</param-value>
	</init-param>
</filter>
<filter-mapping>
	<filter-name>CASFilter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- 该过滤器负责对Ticket的校验工作，必须启用它 -->
<filter>
	<filter-name>CAS Validation Filter</filter-name>
	<filter-class>
		org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
	</filter-class>
	<init-param>
		<param-name>casServerUrlPrefix</param-name>
		<param-value>https://localhost:8443/cas</param-value>
	</init-param>
	<init-param>
		<param-name>serverName</param-name>
		<param-value>http://localhost:8080</param-value>
	</init-param>
</filter>	
<filter-mapping>
	<filter-name>CAS Validation Filter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<!--
	该过滤器负责实现HttpServletRequest请求的包裹，比如允许开发者
	通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。
-->
<filter>
	<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
	<filter-class>
		org.jasig.cas.client.util.HttpServletRequestWrapperFilter
	</filter-class>
</filter>
<filter-mapping>
	<filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<!--
	该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder
	来获取用户的登录名,	比如AssertionHolder.getAssertion().getPrincipal().getName()。
-->
<filter>
	<filter-name>CAS Assertion Thread Local Filter</filter-name>
	<filter-class>
		org.jasig.cas.client.util.AssertionThreadLocalFilter
	</filter-class>
</filter>
<filter-mapping>
	<filter-name>CAS Assertion Thread Local Filter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- 自动根据单点登录的结果设置本系统的用户信息 -->
<filter>
	<display-name>AutoSetUserAdapterFilter</display-name>
	<filter-name>AutoSetUserAdapterFilter</filter-name>
	<filter-class>
		com.cas.client.filter.AutoSetUserAdapterFilter
	</filter-class>
</filter>
<filter-mapping>
	<filter-name>AutoSetUserAdapterFilter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>

需注意二点：
(1)服务端拦截地址：https://localhost:8443/cas/，如果证书中指定的域名为sso.wsria.com,
则为https://sso.wsria.com:8443/cas/，本事例的域名地址指定为localhost。
(2)客户端应用地址：http://localhost:8080，该地址为客户端应用访问的地址。
过滤器认证和Ticket认证类似。

3.AutoSetUserAdapterFilter类设置登录用户session信息代码如下：

public class AutoSetUserAdapterFilter implements Filter{
	public void destroy() {
	}
	/**
	 * 过滤逻辑：首先判断单点登录的账户是否已经存在本系统中，        
	 * 如果不存在使用用户查询接口查询出用户对象并设置在Session中   
	 */
	public void doFilter(ServletRequest request, ServletResponse response,
			FilterChain chain) throws IOException, ServletException {
		   HttpServletRequest httpRequest = (HttpServletRequest) request;   
	       // _const_cas_assertion_是CAS中存放登录用户名的session标志           
          Object object = httpRequest.getSession().getAttribute("_const_cas_assertion_");  
          if (object != null) {                     
	          Assertion assertion = (Assertion) object;   
	          String loginName = assertion.getPrincipal().getName();   
	          System.out.println("登录名为："+loginName);
	          // 接下来在本业务系统中根据用户名获取用户对象，判断session中是否存在，
	          // 如果不存在，则获取用户对象保存到session中，否则直接获取用户对象。	          
          } 
          chain.doFilter(request, response); 
	}
	public void init(FilterConfig filterConfig) throws ServletException {
	}
}

五．美化CAS服务器界面

可定制开发自己CAS服务端页面，复制 cas\WEB-INF\view\jsp\default\ui的一些JSP文件，进行修改替换就行了。
例如：
登录界面：casLoginView.jsp
登录成功：casGenericSuccess.jsp
登出界面：casLogoutView.jsp

查看图片附件

http://www.linuxso.com/architecture/19446.html

分享到：

java RMI | 基于Jenkins搭建集群部署环境(转)

2013-06-07 17:24
浏览 875
评论(0)
分类:Web前端
查看更多

发表评论

您还没有登录,请您登录后再发表评论

最近访客更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论

CAS单点登录应用(转)

评论

发表评论

相关推荐

最近访客 更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论

CAS单点登录应用(转)

评论

发表评论

相关推荐

Linux系统安装时分区的选择

并发编程 — 详解线程池(转)

基于Jenkins搭建集群部署环境(转)

JUnit4使用(转)

struts2 的struts.properties配置详解

最近访客更多访客>>