课程目标

目标1：搭建单点登入服务端，开发单点登入客户端

目标2：实现CAS 认证资料来源设定

目标3：更换CAS 登入页面

目标4：掌握CAS与SpringSecurity整合

目标5：完成使用者中心单点登入功能

1.开源单点登入系统CAS入门

单点登入（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，使用者只需要登入一次就可以访问所有相互信任的应用系统。

我们目前的系统存在诸多子系统，而这些子系统是分别部署在不同的服务器中，那么使用传统方式的session是无法解决的，我们需要使用相关的单点登入技术来解决。

1.2 什么是CAS

CAS 是 Yale 大学发起的一个开源专案，旨在为 Web 应用系统提供一种可靠的单点登入方法，CAS 在 2004 年 12 月正式成为 JA-SIG 的一个专案。CAS 具有以下特点：

【1】开源的企业级单点登入解决方案。

【2】CAS Server 为需要独立部署的 Web 应用。

【3】CAS Client 支援非常多的客户端(这里指单点登入系统中的各个 Web 应用)，包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对使用者的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登入时，重定向到 CAS Server。下图是 CAS 最基本的协议过程：

SSO单点登入访问流程主要有以下步骤：

访问服务：SSO客户端传送请求访问应用系统提供的服务资源。定向认证：SSO客户端会重定向使用者请求到SSO服务器。使用者认证：使用者身份认证。发放票据：SSO服务器会产生一个随机的Service Ticket。验证票据：SSO服务器验证票据Service Ticket的合法性，验证通过后，允许客户端访问服务。传输使用者资讯：SSO服务器验证票据通过后，传输使用者认证结果资讯给客户端。1.3 CAS服务端部署

Cas服务端其实就是一个war包。

在资源cassourcecas-server-4.0.0-releasecas-server-4.0.0modules目录下

cas-server-webapp-4.0.0.war 将其改名为cas.war放入tomcat目录下的webapps下。启动tomcat自动解压war包。浏览器输入http://localhost:8080/cas/login ，可看到登入页面

不要嫌弃这个页面丑，我们后期可以再提升它的颜值。暂时把注意力放在功能实现上。

这里有个固定的使用者名称和密码 casuser /Mellon

登入成功后会跳到登入成功的提示页面

1.4 CAS服务端配置

1.4.1埠修改

如果我们不希望用8080埠访问CAS, 可以修改埠

（1）修改TOMCAT的埠

开启tomcat 目录 confserver.xml 找到下面的配置

将埠8080，改为9100

（2）修改CAS配置档案

修改cas的WEB-INF/cas.properties

server.name=http://localhost:9100

1.4.2去除https认证

CAS预设使用的是HTTPS协议，如果使用HTTPS协议需要SSL安全证书（需向特定的机构申请和购买） 。如果对安全要求不高或是在开发测试阶段，可使用HTTP协议。我们这里讲解通过修改配置，让CAS使用HTTP协议。

（1）修改cas的WEB-INF/deployerConfigContext.xml

找到下面的配置

p:httpClient-ref="httpClient"/>

这里需要增加引数p:requireSecure=“false”，requireSecure属性意思为是否需要安全验证，即HTTPS，false为不采用

（2）修改cas的/WEB-INF/spring-configuration/ticketGrantingTicketCookieGenerator.xml

找到下面配置

p:cookieSecure="true"

p:cookieMaxAge="-1"

p:cookieName="CASTGC"

p:cookiePath="/cas" />

引数p:cookieSecure=“true”，同理为HTTPS验证相关，TRUE为采用HTTPS验证，FALSE为不采用https验证。

引数p:cookieMaxAge="-1"，是COOKIE的最大生命周期，-1为无生命周期，即只在当前开启的视窗有效，关闭或重新开启其它视窗，仍会要求验证。可以根据需要修改为大于0的数字，比如3600等，意思是在3600秒内，开启任意视窗，都不需要验证。

我们这里将cookieSecure改为false , cookieMaxAge 改为3600

（3）修改cas的WEB-INF/spring-configuration/warnCookieGenerator.xml

找到下面配置

p:cookieSecure="true"

p:cookieMaxAge="-1"

p:cookieName="CASPRIVACY"

p:cookiePath="/cas" />

我们这里将cookieSecure改为false , cookieMaxAge 改为3600

1.5 CAS客户端入门小Demo

1.5.1客户端工程1搭建

（1）搭建工程引入依赖

建立Maven工程 （war）casclient_demo1 引入cas客户端依赖并制定tomcat执行埠为9001

org.jasig.cas.client

cas-client-core

3.3.3

javax.servlet

servlet-api

2.5

provided

org.apache.maven.plugins

maven-compiler-plugin

2.3.2

1.7

1.7

org.apache.tomcat.maven

tomcat7-maven-plugin

9001

/

（2）新增web.xml

xmlns="http://java.sun.com/xml/ns/javaee"

xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"

version="2.5">

org.jasig.cas.client.session.SingleSignOutHttpSessionListener

CAS Single Sign Out Filter

org.jasig.cas.client.session.SingleSignOutFilter

CAS Single Sign Out Filter

/*

CASFilterorg.jasig.cas.client.authentication.AuthenticationFilter

casServerLoginUrl

http://localhost:9100/cas/login

serverName

http://localhost:9001

CASFilter

/*

CAS Validation Filter

org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter

casServerUrlPrefix

http://localhost:9100/cas

serverName

http://localhost:9001

CAS Validation Filter

/*

CAS HttpServletRequest Wrapper Filter

org.jasig.cas.client.util.HttpServletRequestWrapperFilter

CAS HttpServletRequest Wrapper Filter

/*

CAS Assertion Thread Local Filterorg.jasig.cas.client.util.AssertionThreadLocalFilter

CAS Assertion Thread Local Filter

/*

（3）编写index.jsp

pageEncoding="utf-8"%>

一品优购

欢迎来到一品优购

request.getRemoteUser()为获取远端登入名

1.5.2客户端工程2搭建

（1）建立Maven工程 （war）casclient_demo2 引入cas客户端依赖并制定tomcat执行埠为9002

（2）建立web.xml，参照casclient_demo1 ,将serverName的值改为http://localhost:9002，一共两处

（3）建立index.jsp ,内容显示“欢迎来到二品优购”

1.5.3单点登入测试

（1）启动cas部署的tomcat

（2）启动客户端工程1和客户端工程2

（3）位址列输入http://localhost:9001/ 和http://localhost:9002/ ，地址均会跳转到CAS登入页

（4）输入使用者名称和密码后，页面跳转回9002 ，再次访问9001也可以开启主页面。

1.5.4单点退出登入

位址列输入 http://localhost:9100/cas/logout

即可看到退出后的提示页面

我们可以将这个连结新增到index.jsp中

退出登入

但我们更希望退出登入后，能自动跳转到某个页面，那如何处理呢？

修改cas系统的配置档案cas-servlet.xml

p:servicesManager-ref="servicesManager"

p:followServiceRedirects="${cas.logout.followServiceRedirects:true}"/>

改为true后，可以在退出时跳转页面到目标页面，修改index.jsp的退出连结

退出登入

2.CAS服务端资料来源设定

我们现在让使用者名称密码从我们的品优购的user表里做验证

2.2配置资料来源

（1）修改cas服务端中web-inf下deployerConfigContext.xml ，新增如下配置

p:driverClass="com.mysql.jdbc.Driver"

p:jdbcUrl="jdbc:mysql://127.0.0.1:3306/pinyougoudb?characterEncoding=utf8"

p:user="root"

p:password="123456" />

class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder"

c:encodingAlgorithm="MD5"

p:characterEncoding="UTF-8" />

class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler"

p:dataSource-ref="dataSource"

p:sql="select password from tb_user where username = ?"

p:passwordEncoder-ref="passwordEncoder"/>

然后在配置档案开始部分找到如下配置

其中

一句是使用固定的使用者名称和密码，我们在下面可以看到这两个bean ,如果我们使用数据库认证使用者名称和密码，需要将这句注释掉。

新增下面这一句配置

（2）将以下三个jar包放入webappscasWEB-INFlib下

（这三个jar包在资源casjar目录下）

用数据库中的使用者名称和密码进行测试

3.CAS服务端界面改造

我们现在动手将CAS预设的登入页更改为自己的品优购登陆页

3.2改头换面

3.2.1拷贝资源

（1）将品优购的登陆页login.html拷贝到cas系统下WEB-INFiewjspdefault\ui 目录下

（2）将css js等资料夹拷贝到 cas目录下

（3） 将原来的casLoginView.jsp 改名（可以为之后的修改操作做参照），将login.html改名为casLoginView.jsp

3.2.2修改页面

编辑casLoginView.jsp 内容

（1）新增指令

（2）修改form标签

......

（3）修改使用者名称框

（4）修改密码框

accesskey="${passwordAccessKey}" htmlEscape="true" autocomplete="off"

placeholder="请输入密码" class="span2 input-xfat" />

（5）修改登陆按钮

修改后效果如下：

3.3错误提示

在表单内加入错误提示框

测试：输入错误的使用者名称和密码，提示是英文。这个提示资讯是在WEB-INFclasses目录下的messages.properties档案中

authenticationFailure.AccountNotFoundException=Invalid credentials.

authenticationFailure.FailedLoginException=Invalid credentials.

设定国际化为zn_CN ,修改cas-servlet.xml

我们需要将此资讯拷贝到messages_zh_CN.properties下，并改为中文提示（转码）

authenticationFailure.AccountNotFoundException=\u7528\u6237\u4E0D\u5B58\u5728.

authenticationFailure.FailedLoginException=\u5BC6\u7801\u9519\u8BEF.

第一个是使用者名称不存在时的错误提示

第二个是密码错误的提示

4. CAS客户端与SpringSecurity整合

（1）建立Maven专案casclient_demo3 ，引入spring依赖和spring secrity 相关依赖 ，tomcat埠设定为9003

（2）建立web.xml ,新增过滤器等配置

（3）建立配置档案spring-security.xml

（4）新增html页面

4.2 Spring Security与 CAS整合

（1）引入依赖

org.springframework.security

spring-security-cas

4.1.0.RELEASE

org.jasig.cas.client

cas-client-core

3.3.3

org.slf4j

log4j-over-slf4j

（2）修改spring-security.xml

xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd

http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

（3）建立UserDetailsServiceImpl

/**

* 认证类

*/

public class UserDetailServiceImpl implements UserDetailsService {

@Override

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

//构建角色集合

List authorities=new ArrayList();

authorities.add(new SimpleGrantedAuthority("ROLE_USER"));

return new User(username, "" , authorities);

}

}

这个类的主要作用是在登陆后得到使用者名称，可以根据使用者名称查询角色或执行一些逻辑。

4.3获取登入名

我们在处理后端逻辑需要获得登入名，那么如何获取单点登入的使用者名称呢? 其实和我们之前获得使用者名称的方式是完全相同的，我们下面来做个测试。

（1）web.xml 新增springmvc

springmvc

org.springframework.web.servlet.DispatcherServlet

contextConfigLocation

classpath:springmvc.xml

springmvc

*.do

（2）建立springmvc.xml

（3）建立UserController

@RestController

public class UserController {

@RequestMapping("/findLoginUser")

public void findLoginUser(){

String name = SecurityContextHolder.getContext().getAuthentication().getName();

System.out.println(name);

}

}

位址列输入http://localhost:9003/findLoginUser.do 即可在控制台看到输出的登入名。

4.4退出登入

修改spring-security.xml

在页面上新增连结

退出登入

建立index2.html,将index2.html设定为可匿名访问

5.品优购使用者中心

使用者中心实现单点登入。

5.2程式码实现

5.2.1使用者中心实现单点登入

（1）将使用者中心相关的页面（home-开头的）拷贝至 pinnyougou-user-web

（2）pom.xml 引入springSecurity、cas客户端和springSecurity Cas整合包依赖（参照casclient_demo3）。

（3）web.xml 新增spring-security过滤器（参照参照casclient_demo3）设定首页为home-index.html

home-index.html

（4）构建UserDetailsServiceImpl.java （参照casclient_demo3）

（5）新增spring-security.xml（参照casclient_demo3），并做以下修改

配置匿名访问资源

设定服务地址属性

设定认证类

id="userDetailsService" class="com.pinyougou.user.service.UserDetailServiceImpl"/>

5.2.2页面显示使用者名称

（1）pinyougou-user-web建立LoginController.java

@RestController

@RequestMapping("/login")

public class LoginController {

@RequestMapping("/name")

public Map showName(){

String name = SecurityContextHolder.getContext().getAuthentication().getName();//得到登陆人账号

Map map=new HashMap();

map.put("loginName", name);

return map;

}

}

（2）建立loginService.js

//服务层

app.service('loginService',function($http){

//读取列表资料系结到表单中

this.showName=function(){

return $http.get('../login/name.do');

}

});

（3）建立indexController.js

//首页控制器

app.controller('indexController',function($scope,loginService){

$scope.showName=function(){

loginService.showName().success(

function(response){

$scope.loginName=response.loginName;

}

);

}

});

（5）修改home-index.html 引入js

指令，呼叫方法查询登陆名

显示使用者名称

{{loginName}}

5.2.3退出登入

设定退出登入后的跳转地址

........

退出登入后，跳转到网站首页

退出登入

附录A. Spring Security 内建过滤器表

别名Filter 类

CHANNEL_FILTERChannelProcessingFilter

SECURITY_CONTEXT_FILTERSecurityContextPersistenceFilter

CONCURRENT_SESSION_FILTERConcurrentSessionFilter

LOGOUT_FILTERLogoutFilter

X509_FILTERX509AuthenticationFilter

PRE_AUTH_FILTERAstractPreAuthenticatedProcessingFilter 的子类

CAS_FILTERCasAuthenticationFilter

FORM_LOGIN_FILTERUsernamePasswordAuthenticationFilter

BASIC_AUTH_FILTERBasicAuthenticationFilter

SERVLET_API_SUPPORT_FILTERSecurityContextHolderAwareRequestFilter

JAAS_API_SUPPORT_FILTERJaasApiIntegrationFilter

REMEMBER_ME_FILTERRememberMeAuthenticationFilter

ANONYMOUS_FILTERAnonymousAuthenticationFilter

SESSION_MANAGEMENT_FILTERSessionManagementFilter

EXCEPTION_TRANSLATION_FILTERExceptionTranslationFilter

FILTER_SECURITY_INTERCEPTORFilterSecurityInterceptor

SWITCH_USER_FILTERSwitchUserFilter