cas(sso)服务器

1.cas4.0server端下载地址

迅雷地址：http://developer.jasig.org/cas/cas-server-4.0.0-release.zip

也可以去最新的地址：

https://www.apereo.org/projects/cas/download-cas或者http://developer.jasig.org/cas/选择你需要的下载

2. 部署cas服务

解压cas-server-4.0.0-release.zip后拷贝出cas-server-4.0.0\modules的cas-server-webapp-4.0.0.war到tomcat的webapp目录，重命名为cas

3.创建证书（下面会用到）

证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；本教程由于是演示所以就自己用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买，当然现在也有免费。

keytool -genkey -alias tomcatcas -keystore d://castest -keyalg RSA -validity 3666

详细操作：

因为sso.castest.com不存在，估需要修改hosts文件 (C:\Windows\System32\drivers\etc\hosts)

增加：127.0.0.1 sso.castest.com

4.导出证书

证书导出：

keytool -export -alias tomcatcas -keystore d://castest  -file d://tomcatcas.crt

5.为客户端的JVM导入证书

如果命令中存在空格，命令将报错

keytool -import -keystore D:\software\Java\jdk1.8.0_20\jre\lib\security\cacerts -file D:/tomcatcas.crt -alias tomcatcas

注意：这里需要输入密码，此密码不是前面设定的密码，是DK安装后会默认创建一个密钥库,密码为：changeit

D:\software\Java\jdk1.8.0_20\jre\lib\security\ -- 是jre的目录；至此证书的创建、导出、导入到客户端JVM都已完成，下面开始使用证书到Web服务器中

6. 启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议

打开tomcat目录的conf/server.xml文件,取消开启84和88行左右的注释代码，并设置keystoreFile、keystorePass修改结果如下：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" keystorefile="D:/wsriakey" keystorepass="castest"/>

参数说明：

keystoreFile：在第一步创建的key存放位置
keystorePass：创建证书时的密码

7.简单配置CAS SERVER后进行验证启动tomcat后浏览器输入http://sso.castest.com:8443/cas/ 注意：cas4.0以前主需要用户名和密码相同即可，但是4.0后默认的用户名/密码: casuser/Mellon否则会报“cas Invalid credentials.”提示成功进入cas登录页面

8. casserver的数据验证配置 需要依赖的jar：c3p0-0.9.1.2.jar，mysql-connector-java-5.1.21.jar，cas-server-support-jdbc-4.0.0.jar拷贝到cas\WEB-INF\lib下对配置文件修改：

tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml

1).注释默认的简单登录配置

<!--
 <bean id="primaryAuthenticationHandler"
     class="org.jasig.cas.authentication.AcceptUsersAuthenticationHandler">
     <property name="users">
        <map>
          <entry key="casuser" value="Mellon"/>
        </map>
      </property>
  </bean>
    -->

2).增加数据库连接

<!-- Define the DB Connection -->
<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"
   p:driverClass="com.mysql.jdbc.Driver"
   p:jdbcUrl="jdbc:mysql://127.0.0.1:3306/xxx?useUnicode=true&amp;characterEncoding=UTF-8&amp;zeroDateTimeBehavior=convertToNull"
   p:user="root"
   p:password="root" />
 
<!-- Define the encode method-->     
<bean id="passwordEncoder" 
      class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder"
      c:encodingAlgorithm="MD5"
      p:characterEncoding="UTF-8" />
 
<bean id="dbAuthHandler"
      class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler"
      p:dataSource-ref="dataSource"
      p:sql="select password from xxxx where name=?"
      p:passwordEncoder-ref="passwordEncoder"/>
     <!-- p:passwordEncoder-ref="passwordEncoder"如果无加密不需要 passwordEncoder bean 与p:passwordEncoder-->

3).更换验证Handle(找到id=authenticationManager的bean)

<bean id="authenticationManager" class="org.jasig.cas.authentication.PolicyBasedAuthenticationManager">
    <constructor-arg>
      <map>
        <!--
         | IMPORTANT
         | Every handler requires a unique name.
         | If more than one instance of the same handler class is configured, you must explicitly
         | set its name to something other than its default name (typically the simple class name).
         -->
     <entry key-ref="proxyAuthenticationHandler" value-ref="proxyPrincipalResolver" />
     <entry key-ref="dbAuthHandler" value-ref="primaryPrincipalResolver" />      <!-- <entry key-ref="primaryAuthenticationHandler" value-ref="primaryPrincipalResolver" /> -->
    </map>
 </constructor-arg>
</bean>

是为了注释掉key-ref="primaryAuthenticationHandler"的部分，然后引入id=dbAuthHandler的bean之后重启tomcat 进行验证.服务端就配置完成 8.客户端配置 1). 增加cas-client的jar包( cas-client-core-3.4.1.jar )，有两种方式：

传统型 ：下载cas-client，地址：http://developer.jasig.org/cas-clients/，然后解压cas-client-3.1.12.zip，在modules或者WEB-INF文件夹中,请根据自己的项目情况选择使用

Maven

<dependency>
	<groupId>org.jasig.cas.client</groupId>
	<artifactId>cas-client-core</artifactId>
	<version>3.4.1</version>
</dependency>

<!-- ======================== 单点登录/登出 ======================== -->

<!-- 该过滤器用于实现单点登出功能，可选配置。 -->
<filter>
   <filter-name>CAS Single Sign Out Filter</filter-name>
   <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
</filter>

<!-- 该过滤器负责用户的认证工作，必须启用它 -->
<filter>
  <filter-name>CAS Authentication Filter</filter-name>
  <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
  <init-param>
    <param-name>casServerLoginUrl</param-name>
    <param-value>https://localhost:8443/cas/login</param-value>
  </init-param>
  <init-param>
    <param-name>serverName</param-name>
    <param-value>http://localhost:8080</param-value>
  </init-param>
</filter>

<!-- 该过滤器负责对Ticket的校验工作，必须启用它 -->
<filter>
    <filter-name>CAS Validation Filter</filter-name>
    <filter-class>org.jasig.cas.client.validation.Cas10TicketValidationFilter</filter-class>
    <init-param>
        <param-name>casServerUrlPrefix</param-name>
        <param-value>https://localhost:8443/cas</param-value>
    </init-param>
    <init-param>
        <param-name>serverName</param-name>
        <param-value>http://localhost:8080</param-value>
    </init-param>
    <init-param>
        <param-name>redirectAfterValidation</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>

<!-- 该过滤器负责实现HttpServletRequest请求的包裹，
比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。 -->
<filter>
  <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
  <filter-class>org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
</filter>

<!-- 该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。
 比如AssertionHolder.getAssertion().getPrincipal().getName()。-->
<filter>
  <filter-name>CAS Assertion Thread Local Filter</filter-name>
  <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
</filter>

<filter-mapping>
   <filter-name>CAS Single Sign Out Filter</filter-name>
   <url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
    <filter-name>CAS Authentication Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
    <filter-name>CAS Validation Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
    <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
    <filter-name>CAS Assertion Thread Local Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
 
<listener>
    <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
</listener>
<!-- ======================== 单点登录/登出结束 ======================== -->

9客户端与shiro进行整合配置 1).增加需要的jar包 shiro-cas-1.2.4.jar、 cas-client-core-3.4.1.jar(下载参考第8步)

<dependency>
	<groupId>org.apache.shiro</groupId>
	<artifactId>shiro-cas</artifactId>
	<version>1.2.4</version>
</dependency>

2)修改shiro的配置（spring-shiro.xml）

修改shiroFilter：

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<property name="securityManager" ref="securityManager" />
		<!-- 设定角色的登录链接，这里为cas登录页面的链接可配置回调地址  -->    
        <property name="loginUrl" value="http://sso.castest.com:7443/cas/login?service=http://localhost:8080/admin/login.htm" />    
        <property name="successUrl" value="http://localhost:8080/admin/index.htm"></property> <!-- 加这句会出现页面循坏重定向 -->  
        <property name="filters">    
            <map>    
                <entry key="casFilter" >  
                 <bean class="org.apache.shiro.cas.CasFilter">  
                                        <!--配置验证错误时的失败页面 /main 为系统登录页面 -->  
                        <property name="failureUrl" value="/login.htm" />  
                    </bean>  
                </entry>    
            </map>    
        </property> 
        
		<property name="unauthorizedUrl" value="/unauthorized.htm" />
		<property name="filterChainDefinitions">
			<value>
				/favicon.ico = anon
				/login.htm = anon
				/error/ajaxUnauthorized.htm = anon
				/doRegister.htm = anon
				/doAjaxLogin.htm = anon
				/logout.htm = logout
				/service/*.htm=anon
				/*.htm= authc
				/**/*.htm=authc
			</value>
		</property>
	</bean>

shiroRealm的配置中添加两个属性，分别为cas服务器的登录地址和cas客户端的入口即会被拦截的地址：

<!--自定义Realm 继承自CasRealm -->
	<bean id="shiroJdbcRealm" class="com.lz.core.shiro.ShiroJdbcRealm">
	   <property name="casServerUrlPrefix" value="http://sso.castest.com:7443/cas/"/> <!-- 一定是ip+port+context path -->  
       <property name="casService" value="http://localhost:8080/admin/doLogin.htm"/> <!-- 没有这句，认证不会通过，casfilter失败 -->  
	</bean>

在securityManager的配置中加入属性：

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
		<!--设置自定义realm -->
		<property name="realm" ref="shiroJdbcRealm" />
		<property name="cacheManager" ref="shiroCacheManager" />
		<property name="subjectFactory" ref="casSubjectFactory"/> <!-- 增加CasSubject -->
	</bean>

加入casSubjectFactory Bean的配置

<bean id="casSubjectFactory" class="org.apache.shiro.cas.CasSubjectFactory"/>  <!-- 引入CasSubject -->

参考页面 http://dead-knight.iteye.com/blog/1525671 http://blog.csdn.net/zhuojiajin/article/details/42973251 http://blog.csdn.net/ppt0501/article/details/41728819

1.cas4.0server端下载地址

猜你喜欢