SSO单点登录之CAS部署教程

流程梳理

  1. 配置安全证书
    1.1 将证书导入到tomcat（客户端的tomcat）所使用的jdk密钥库中
    1.2 将证书拷贝到指定目录（本例拷贝到tomcat的conf下）
  2. 部署CAS服务端
    2.1 指定服务端tomcat 所使用的jdk版本
    2.2 开启tomcat HTTPS（CAS服务端的tomcat）
    2.3 将CAS的war包拷贝到tomcat的webapp下
    2.4 修改CAS配置文件deployerConfigContext.xml，使其支持不同的校验方式
  3. 部署CAS客户端
    3.1 将所需jar包拷贝到web项目的lib下
    3.2 修改web.xml配置文件

准备工作

  1. 准备如下软件包（我实在window 10 64位系统做的实验）

apache-tomcat-7.0.79.zip
jdk1.7.0_80
cas-server-webapp-4.0.0.war
cas-client-core-3.2.1.jar
commons-logging-1.2.jar
说明：需要3个tomcat，部署CAS中心服务器、客户端1号服务器、客户端2号服务器

  1. 配置hosts文件
    文件位置：C:\Windows\System32\drivers\etc\hosts，在文件最下方加入
127.0.0.1 server.sso.com
127.0.0.1 app1.sso.com
127.0.0.1 app2.sso.com

说明：
server.sso.com --- CAS中心服务器，这个域名要与证书域名相同
app1.sso.com --- 客户端1号服务器
app2.sso.com --- 客户端2号服务器

开始部署

1. 配置安全证书

生成证书

使用cmd进入jdk的bin目录，之后输入

keytool -genkey -alias ssocas -keyalg RSA -keysize 1024 -keypass hopisso -validity 90 -keystore hopi.keystore -storepass hopisso

命令截图：


上图中的红色框必须与CAS中心服务器域名相同

导出证书

继续在cmd下输入

keytool -export -alias ssocas -keystore hopi.keystore -file ssocas.crt -storepass hopisso

命令截图：


导出证书

查看生成文件：


生成对应文件

导入证书

继续在cmd下输入

keytool -import -keystore E:\Dev\DevTools\Runtimes\Java\jdk1.7.0_80\bin\jre\lib\security\cacerts -file ssocas.crt -alias ssocas
说明：证书需要导入客户端tomcat所使用的jdk中

命令截图：


注意：输入密钥库口令：要输入changeit，它是jdk密钥库的默认密码，而不是我们之前指定的密码hopisso

拷贝证书

将证书文件hopi.keystore拷贝到将要部署CAS中心服务器的tomcat的conf目录下
操作截图：

开启HTTPS

编辑该目录下的server.xml文件，找到如下图位置：



修改成：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
    keystorePass="hopisso" keystoreFile="/conf/hopi.keystore"
    maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"/>

修改后截图：


指定Tomcat 所使用的jdk

修改tomcat \bin目录下的catalina.bat 与 setclasspath.bat

catalina.bat

setclasspath.bat

部署CAS服务端

将cas-server-webapp-4.0.0.war修改为cas.war并拷贝到CAS中心服务器的tomcat下的webapp下,启动CAS中心服务器的tomcat，点击进入CAS中心服务器
进入中心服务器

点高级后再点继续前往server.sso.com(不安全)

进入CAS中心服务器首页

在CAS中心服务器的tomcat中找到下图文件

可以看到我们CAS中心服务器的默认用户名和密码

输入对应的用户名和密码后可以看到如下图所示：


现在说明我们的CAS中心服务器已经部署成功

部署CAS客户端

拷贝jar包
将cas-client-core-3.2.1.jar和commons-logging-1.2.jar拷贝到我们的客户端项目中（这里我使用了tomcat默认的examples项目），见下图


配置端口

找到客户端tomcat服务器下的conf\server.xml文件
修改如下3个端口

原来是8005

原来是8080

原来是8009

修改web.xml

找到客户端tomcat的webapps\examples\WEB-INF\web.xml文件，在最下面加入如下配置

    <!-- 用于单点退出，该过滤器用于实现单点登出功能，可选配置-->
    <listener>
        <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
    </listener>
    <!-- 该过滤器用于实现单点登出功能，可选配置 -->
    <filter>
        <filter-name>CAS Single Sign Out Filter</filter-name>
        <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS Single Sign Out Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <filter>
        <filter-name>CAS Filter</filter-name>
        <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
        <init-param>
            <param-name>casServerLoginUrl</param-name>
            <param-value>https://server.sso.com:8443/cas/login</param-value>
        </init-param>
        <init-param>
            <param-name>serverName</param-name>
            <param-value>http://app1.sso.com:18080</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>CAS Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <!-- 该过滤器负责对Ticket的校验工作，必须启用它 -->
    <filter>
        <filter-name>CAS Validation Filter</filter-name>
        <filter-class>
            org.jasig.cas.client.validation.Cas10TicketValidationFilter</filter-class>
        <init-param>
            <param-name>casServerUrlPrefix</param-name>
            <param-value>https://server.sso.com:8443/cas</param-value>
        </init-param>
        <init-param>
            <param-name>serverName</param-name>
            <param-value>http://app1.sso.com:18080</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>CAS Validation Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <!--
        该过滤器负责实现HttpServletRequest请求的包裹，比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。
    -->
    <filter>
        <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
        <filter-class>org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <!--
        该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。比如AssertionHolder.getAssertion().getPrincipal().getName()。
    -->
    <filter>
        <filter-name>CAS Assertion Thread Local Filter</filter-name>
        <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>CAS Assertion Thread Local Filter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

配置完成后，启动CAS中心服务器的tomcat，再启动客户端1号服务器的tomcat，在浏览器访问:http://app1.sso.com:18080/examples/servlets/servlet/HelloWorldExample看看是否跳转到了CAS认证界面，回车之后，会出现如下图：

image.png

观察会发现浏览器的地址栏中URL信息是这样的：

https://server.sso.com:8443/cas/login?service=http%3A%2F%2Fapp1.sso.com%3A18080%2Fexamples%2Fservlets%2Fservlet%2FHelloWorldExample

我想你已经知道什么意思了，由于你没有登录CAS中心服务器认证系统，CAS客户端1号拦截到你访问的客户端应用，首先进入到CAS中心服务器认证系统登录界面，同时URL后面加上你想访问的地址信息，当你登录成功后，CAS中心服务器会转向到你刚刚访问的地址，也就是：

http://app1.sso.com:18080/examples/servlets/servlet/HelloWorldExample;jsessionid=B99CBA08ADD2C4F1A8661195CD79F5DD

转向到这个地址之后，浏览器会显示如下内容：

image.png

上面这个内容，显示的就是你访问tomcat中的examples项目的一个servlet的返回结果。这里，如果你够细心的话，你会发现浏览器地址栏又多了一个内容，即多了一个jsessionid参数，这个就是CAS认证的原理所在，使用的是COOKIE机制。
按照上面的方法来配置客户端2号服务器

登出

在浏览器中输入连接：https://server.sso.com:8443/cas/logout可登出系统

扩展知识

数据库校验

如何配置用户名和密码通过数据库进行交互验证的呢？

  1. 需要将几个jar文件，放到CAS服务的lib目录下，我本地使用的jar版本分别是c3p0-0.9.1.2.jar、cas-server-support-jdbc-4.0.0.jar、mysql-connector-java-5.1.13-bin.jar，这3个缺一不可。将这3个jar放到CAS中心服务器的tomcat \webapps\cas\WEB-INF\lib目录下。
  2. 修改配置，支持mysql数据库交互验证编辑CAS中心服务器的tomcat \webapps\cas\WEB-INF\ deployerConfigContext.xml文件，你会看到有这样一段配置：
    image.png

    注释掉第二个entry配置，最终配置如下：
<constructor-arg>
  <map> 
    <entry key-ref="proxyAuthenticationHandler" value-ref="proxyPrincipalResolver" />
       <!-- 注释这个-->
       <!--<entry key-ref="primaryAuthenticationHandler" value-ref="primaryPrincipalResolver" />-->
    <!-- key-ref指定自己的本地数据库访问 -->
    <entry key-ref="dbAuthHandler" value-ref="primaryPrincipalResolver"/>
   </map>
 </constructor-arg>

然后再在这个xml中新加入2个bean配置，如下：

<!-- 指定c3p0数据源 -->
<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource">
    <property name="driverClass" value="com.mysql.jdbc.Driver" />
    <property ame="jdbcUrl" value="jdbc:mysql://127.0.0.1:3306/myProject?useUnicode=true&amp;characterEncoding=UTF-8" />
    <property name="user" value="root" />
    <property name="password" value="root
</bean>

<!-- 访问本地数据库 -->
<bean id="dbAuthHandler"
      class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler"
      p:dataSource-ref="dataSource"
      p:sql="SELECT u.`password` FROM `sec_user` u WHERE u.`account` = ?" />

现在，CAS已经支持数据库交互验证了，服务端tomcat也支持HTTPS协议访问，现在，我们来搭建客户端，实现多个客户端的单点登录。这里，我本地只使用2个tomcat客户端来测试，其实已经满足单点登录的要求了，至少2个应用。

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

推荐阅读更多精彩内容