JAVA CAS单点登陆(SSO)

1、教程前言

1. 教程目的：从头至尾细细道来单点登陆服务器及客户端应用的每一个步骤
2. 单点登陆（SSO）：请看百科解释猛击这里打开
3. 本教程使用的SSO服务器是Yelu大学研发的CAS(Central Authentication Server)，
   官网：http://www.jasig.org/cas
4. 本教程环境：
   • Tomcat6.0.29
   • JDK6
   • CAS Server版本：cas-server-3.4.3.1
   • CAS Client版本：cas-client-3.1.12
   • 教程撰写日期：2010-11-05
   • 教程做者：咖啡兔

2、建立证书

啰嗦几句：证书是单点登陆认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；本教程因为是演示因此就本身用JDK自带的keytool工具生成证书；若是之后真正在产品环境中使用确定要去证书提供商去购买，证书认证通常都是由VeriSign认证，
中文官方网站：http://www.verisign.com/cn/

1. 用JDK自带的keytool工具生成证书：
   

   命令：keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey

无图不给力，有图有真相：

用keytool生成证书

具体的输入项图片中都有说明，有一点我要解释一下；在输入完密码后提示输入域名是我输入的是sso.wsria.com，其实这个域名是不存在的，可是我为了演示因此虚拟了这个域名，技巧在于修改C:\Windows\System32\drivers\etc\hosts，添加内容以下：

127.0.0.1 sso.wsria.com

这样在访问sso.wsria.com的时候实际上是访问的127.0.0.1也就是本机

严重提醒：提示输入域名的时候不能输入IP地址

3、导出证书

命令：D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey

来点颜色：

使用keytool导出证书

至此导出证书完成，能够分发给应用的JDK使用了，接下来说解客户端的JVM怎么导入证书

4、为客户端的JVM导入证书

命令：keytool -import -keystore D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security\cacerts -file D:/keys/wsria.crt -alias wsria

来点颜色瞧瞧：

为客户端JVM导入证书

特别说明：D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security — 是jre的目录；密码仍是刚刚输入的密码。
至此证书的建立、导出、导入到客户端JVM都已完成，下面开始使用证书到Web服务器中，本教程使用tomcat。

5、应用证书到Web服务器-Tomcat

说是应用起始作的事情就是启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议，为何加密我就不用啰嗦了吧……
准备好一个干净的tomcat，本教程使用的apache-tomcat-6.0.29
打开tomcat目录的conf/server.xml文件，开启83和87行的注释代码，并设置keystoreFile、keystorePass修改结果以下：

 <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
                maxThreads="150" scheme="https" secure="true"
                clientAuth="false" sslProtocol="TLS"
            keystoreFile="D:/keys/wsriakey"
            keystorePass="wsria.com"
 />

 

参数说明：

• keystoreFile：在第一步建立的key存放位置
• keystorePass：建立证书时的密码

好了，到此Tomcat的SSL启用完成，如今你能够启动tomcat试一下了，例如本教程输入地址：https://sso.wsria.com:8443/
打开的是：

浏览器提示证书错误

好的，那么咱们点击“继续浏览此网站(不推荐)。 ”，如今进入Tomcat目录了吧，若是是那么你又向成功迈进了一步。
OK，接下来要配置CAS服务器了。

6、CAS服务器初体验

1. CAS服务端下载：http://www.jasig.org/cas/download
2. 下载完成后将cas-server-3.4.3.1.zip解压，解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war，更名为cas，而后复制cas目录到你的tomcat/webapp目录下
3. 如今能够访问CAS应用了，固然要使用HTTPS加密协议访问，
   例如本教程地址：https://sso.wsria.com:8443/cas/login ，如今打开了CAS服务器的页面输入admin/admin点击登陆（CAS默认的验证规则只要用户名和密码相同就经过）因此若是你看到下面的这张图片你就成功了

CAS登陆成功

你成功了吗？若是没有成功请再检查以上步骤！

7、CAS服务器深刻配置

上面的初体验仅仅是简单的身份验证，实际应用中确定是要读取数据库的数据，下面咱们来进一步配置CAS服务器怎么读取数据库的信息进行身份验证。
首先打开tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml文件，配置的地方以下：

1. 找到第92行处，注释掉：SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler，这个是比较简单的，只是判断用户名和密码相同便可经过，这个确定不能在实际应用中使用，弃用！
2. 注释掉92行后在下面添加下面的代码： 
   

    <bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">
        <property name="dataSource" ref="dataSource" />
        <property name="sql" value="select password from t_admin_user where login_name=?" />
        <property name="passwordEncoder" ref="MD5PasswordEncoder"/>
    </bean>

   
   
   

   在文件的末尾以前加入以下代码：
   

    <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
       <property name="driverClassName"><value>com.mysql.jdbc.Driver</value></property>
       <property name="url"><value>jdbc:mysql:///wsriademo</value></property>
       <property name="username"><value>root</value></property>
       <property name="password"><value>root</value></property>
    </bean>
   
    <bean id="MD5PasswordEncoder" class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder">
        <constructor-arg index="0">
            <value>MD5</value>
        </constructor-arg>
    </bean>

   
   
    

3. 复制cas-server-3.4.3.1\modules\cas-server-support-jdbc-3.4.3.1.jar和mysql驱动jar包到tomcat/webapp/cas/WEB-INF/lib目录
4. 配置解释：
   • QueryDatabaseAuthenticationHandler是cas-server-support-jdbc提供的查询接口其中一个，QueryDatabaseAuthenticationHandler是经过配置一个 SQL 语句查出密码，与所给密码匹配
   • dataSource我就不用解释了吧，就是使用JDBC查询时的数据源
   • sql语句就是查询哪一张表，本例根据t_admin_user表的login_name字段查询密码，CAS会匹配用户输入的密码，若是匹配则经过；下面是t_admin_user的表结构： 
     

      CREATE TABLE t_admin_user (
          id BIGINT NOT NULL AUTO_INCREMENT,
          email VARCHAR(255),
          login_name VARCHAR(255) NOT NULL UNIQUE,
          name VARCHAR(255),
          password VARCHAR(255),
          PRIMARY KEY (id)
      ) ENGINE=InnoDB;

     
     
     
   • passwordEncoder，这个就算是本身加的盐巴了，意思很明显就是处理密码的加密，看你的应用中数据库保存的是明码仍是加密过的，好比本例是使用MD5加密的，因此配置了MD5PasswordEncoder这个Handler，cas内置了MD5的功能因此只须要配置一下就能够了；若是在实际应用中使用的是公司本身的加密算法那么就须要本身写一个Handler来处理密码，实现方式也比较简单，建立一个类继承org.jasig.cas.authentication.handler.PasswordEncoder而后在encode方法中加密用户输入的密码而后返回便可

8、配置CAS客户端

1. 添加cas-client的jar包，有两种方式：
   • 传统型：下载cas-client，地址：http://www.ja-sig.org/downloads/cas-clients/，而后解压cas-client-3.1.12.zip，在modules文件夹中有须要的jar包，请根据本身的项目状况选择使用
   • Maven型： 
     

      <!-- cas -->
      <dependency>
          <groupId>org.jasig.cas.client</groupId>
          <artifactId>cas-client-core</artifactId>
          <version>3.1.12</version>
      </dependency>

     
     
2. 设置filter
   先上配置信息：

    <!-- 用于单点退出，该过滤器用于实现单点登出功能，可选配置-->
    <listener>
        <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
    </listener>
   
    <!-- 该过滤器用于实现单点登出功能，可选配置。 -->
    <filter>
        <filter-name>CAS Single Sign Out Filter</filter-name>
        <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS Single Sign Out Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
   
    <!-- 该过滤器负责用户的认证工做，必须启用它 -->
    <filter>
        <filter-name>CASFilter</filter-name>
        <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
        <init-param>
            <param-name>casServerLoginUrl</param-name>
            <param-value>https://sso.wsria.com:8443/cas/login</param-value>
            <!--这里的server是服务端的IP-->
        </init-param>
        <init-param>
            <param-name>serverName</param-name>
            <param-value>http://localhost:10000</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>CASFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
   
    <!-- 该过滤器负责对Ticket的校验工做，必须启用它 -->
    <filter>
        <filter-name>CAS Validation Filter</filter-name>
        <filter-class>
            org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter</filter-class>
        <init-param>
            <param-name>casServerUrlPrefix</param-name>
            <param-value>https://sso.wsria.com:8443/cas</param-value>
        </init-param>
        <init-param>
            <param-name>serverName</param-name>
            <param-value>http://localhost:10000</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>CAS Validation Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
   
    <!--
        该过滤器负责实现HttpServletRequest请求的包裹，
        好比容许开发者经过HttpServletRequest的getRemoteUser()方法得到SSO登陆用户的登陆名，可选配置。
    -->
    <filter>
        <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
        <filter-class>
            org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
   
    <!--
        该过滤器使得开发者能够经过org.jasig.cas.client.util.AssertionHolder来获取用户的登陆名。
        好比AssertionHolder.getAssertion().getPrincipal().getName()。
    -->
    <filter>
        <filter-name>CAS Assertion Thread Local Filter</filter-name>
        <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS Assertion Thread Local Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
   
    <!-- 自动根据单点登陆的结果设置本系统的用户信息 -->
    <filter>
        <display-name>AutoSetUserAdapterFilter</display-name>
        <filter-name>AutoSetUserAdapterFilter</filter-name>
        <filter-class>com.wsria.demo.filter.AutoSetUserAdapterFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>AutoSetUserAdapterFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <!-- ======================== 单点登陆结束 ======================== -->

   
    

   每一个Filter的功能我就很少说了，都有注释的，关键要解释一下AutoSetUserAdapterFilter的做用和原理.
   查看完整的web.xml请猛击这里(Google code)

3. 利用AutoSetUserAdapterFilter自动根据CAS信息设置Session的用户信息：
   先看一下这个Filter的源码：
   好的，若是你是老程序员应该很快就清楚Filter的目的，若是不太懂我再讲解一下；
   主要是经过CAS的_const_cas_assertion_获取从CAS服务器登录的用户名，而后再根据系统内部的用户工具（UserUtil.java）来判断是否已经登陆过，若是没有登陆根据登陆名从数据库查询用户信息，最后使用设置把用户信息设置到当前session中。
   这样就把用户信息保存到了Sessino中，咱们就能够经过UserUtil工具来获取当前登陆的用户了，我在实例项目中也加入了此功能演示，请看代码：main.jsp的第44行处
4. 补充一下：若是是为一个老项目添加单点登陆功能，那么基本不须要其余的修改，设置好上面的filter便可；固然最好获取用户信息的地方都调用一个工具类，统一管理不容易出错。

9、美化CAS服务器界面

CAS服务端(cas-server)的界面只能在测试的时候用一下，真正系统上线确定须要定制开发本身的页面，就想网易和CSDN的统一认证平台同样，全部子系统的认证都经过此平台来转接，你们能够根据他们的页面本身定制出适合所属应用或者公司的界面；简单介绍一下吧，复制cas\WEB-INF\view\jsp\default\ui的一些JSP文件，每个文件的用途文件名已经区分了，本身修改了替换一下就能够了。
例如：
登陆界面：casLoginView.jsp
登陆成功：casGenericSuccess.jsp
登出界面：casLogoutView.jsp

10、结束语

花了一下午时间终于写完了，总共十项也算完美了。
如今看来起始利用CAS实现单点登陆其实不难，不要畏惧，更不要排斥！
本教程后面的代码部分均来自本博客的wsria-demo项目分支wsria-demo-sso
和本教程相关资料下载：

1. 本教程使用的演示程序，点击这里下载
2. 使用keytool生成的key和证书，点击这里下载

顶

2