cas访问授权控制的问题

0 0

cas访问授权控制的问题5

各位好，a应用和b应用都使用cas实现单点登录，本来按道理，登陆了a就相当于登陆了b了，现在项目需要实现如下需求，b应用访问是需要授权的，用户从a登陆上来了以后，访问b应用的时候，还需要看是否有使用权限，目前我的解决思路是可以从服务端和应用端去解决这个需求，应用端不说了，很容易，服务端请问下大家有什么好的思路吗？我遇到的问题是1：该在哪里加这个控制，2：cas访问数据库是不是要自己写访问类，cas似乎没有提供。谢谢。。这里spring security能派上用场吗？

CAS 使用授权

2013年4月16日 11:04

fogu
2
0 0 6

6个答案按时间排序按投票排序

0 0

关于访问控制分为两个主题: 认证和授权.

(1) CAS可以看成是认证. 所以和授权没有很大的关系. 它仅仅为授权提供授权主体

(2) 授权: 根据主体的角色或者身份, 为其提供相应的权限. 在Java中有一下可以选择:
   a) 自己实现Filter, 把授权的逻辑放在Filte中. 做得尽量可配置化
   b) 借用第三方安全框架. 比如Spring security.
   c) 如果是大型公司, 授权逻辑负责. 可以做一个通用的产品来进行授权. 接入方式还是Filter.

   PS:常用权限模型 ACL, RBAC

2013年4月19日 00:39

jsjzhou
74
0 0 0

添加评论

0 0

先说一下cas的流程：用户访问b，b应用发现该用户没有登录，此时被重定向到cas登录中心，登录完成之后（如果之前有过登录则不用登录，直接被重定向回b），带上授权令牌，被重定向到b，b拿令牌向cas登录中心获取用户信息，获取成功则登录成功；否则登录失败。
像你这种需求可以再b拿令牌到cas中心换取用户信息的时候去鉴定权限，如果用户不具备访问b系统的权限，则不返回用户信息。你试试。

2013年4月17日 09:47

guazi
454
0 0 14

2条评论

0 0

我感觉就是个权限管理，在里面加一条数据，做个判断就行了

2013年4月16日 14:18

mayijun000
25
0 0 1

添加评论

0 0

我的思路：
1.建立一个应用配置字典及应用的权限表，把应用作为被授权的资源。
如：应用表：应用id、应用名称；
2.springsecurity认证过程向CAS跳转的时候，携带本身应用id
3.在cas的登录界面中，隐藏这个应用id，随账号、密码一起提交
4.自定义cas的Credentials接口，根据账号、应用id进行授权处理。并添加到cas的配置文件中。
5.对应的增加自定义cas的CredentialsToPrincipalResolver、Validator接口
……扩展的地方还是挺多的，需要的话，私信我，我把以前扩展的代码共享给你

2013年4月16日 13:58

Dead_knight
1227
2 3 49

4条评论

0 0

跟cas无关
我以前做的是：
1、写一个权限应用就是只做N个应用权限认证的
2、写一个权限应用的客户端（jar包）然后客户只需要引入jar包添加相应的过滤器即可（这种就是比较麻烦）

使用cas登录到某一应用时此应用肯定也有个用户模型给他加权限即可

简单的做法还是需要在每个应用去做自己的权限认证如使用你说的spring security shiro等验证框架与cas无关了

2013年4月16日 12:08

jinnianshilongnian
7280
2 3 591

2条评论

0 0

cas做的事情仅仅是认证，不做授权的。所以肯定在应用侧做授权控制。既然你用到了springsecurity，那么cas认证成功返回到应用侧，这时候你访问业务模块，如果授权不成功，直接提示“没有访问模块的权限”这样的信息。如果你的需求是整个B系统都需要授权才能访问，那么在B系统做一个自定义的filter，放到springsecurity的filter链中，统一控制就行了啊

2013年4月16日 11:15

Dead_knight
1227
2 3 49