首页 > 代码库 > CAS 单点登录

CAS 单点登录

2024-07-11 01:59:28   227人阅读

首先，何谓单点登录。单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。
cas登录系统中有两个角色，一个是cas server 就是提供登录服务，登录页面，client 校验的一个web应用。
一个是cas client，使用过滤器，在客户应用呗访问的时候会先判断该系统是否登录，无登录则直接重定向到cas server服务上。

在CAS中MVC的控制主要是使用的spring MVC来实现的。但是，在登录过程中，因为有点类似于工作流的性质，所以，采用了一个轻量级的工作流框架，就是spring 的weflow。下面，我们就CAS如何采用webflow控制登录流程进行分析。

想深入理解webflow工作原理的读者需要参考官方的webflow2.21版本的reference。

---------------------------------cas client 的流程----------------------------------------

cas client 使用的是过滤器。在每次浏览器访问cas celient应用之时，会先走在web.xml中配置的casFilter。他们会判断该用户是否已经登录。

如果（用户已经登陆）{

doFilter；

}

如果（用户未登录，并且请求的参数中并没有携带ticket参数）{

那么，将把浏览器重定向与cas server 让其去登录。

}
如果（用户未登录，并且请求中携带了ticket参数）{
那么，cas client 会在后台向 cas server 发送 一个server validate的请求。去验证这个ticket的合法性。
如果（验证成功）{
创建session，cookie 并认为该客户是已经登录状态。
}
如果（验证失败）{
吧浏览器重定向于 cas server 让浏览器去登录。
}
}
这就是cas 登录中，客户端的流程
而在cas登出中。已登录的所有cas client 会收到来自 cas server的一个loginoutRequest ，客户端会销毁session什么的来进行登出的操作。从而完成登出。

-------------------------------------cas server的登录流程------------------------------------
cas server 在接收到 casclient 重定向过来的login请求。会进行一系列的账号密码验证工作。
如果（登录成功）{
写cookie， 将浏览器携带过来的server参数，也就是cas client应用的地址拿到，存入map（为将来的登出做准备）。
将用户重定向给cas client ， 并携带ticket参数。
}否则{
毫无疑问。。重新登录吧。
}
ps：登录的操作只会登录一次。
-------------------------------------cas server的验证流程------------------------------------
接收到cas client 发送过来的验证请求，并返回过去一段xml格式的结果。代表成功，或者失败。
ps：该操作每个cas client 都会走一次。


-------------------------------------用户登录流程------------------------------------
至此，所有的流程都大概描述完毕。
那么实际登录流程是怎样呢？
我经常笑说，这种登录就是踢皮球的过程，用户会被cas server 以及cas client 各种踢来踢去。
用户（浏览器）访问 http://client/clientapp
clientapp 发现用户未登录，所以重定向给了casserver，于是用户的浏览器上的url变成了
用户（浏览器）访问http://casserver:8443/casserver?server=http://client/clientapp
用户（浏览器）输入用户密码点击提交
casserver验证结果，并将用户重定向给了server中定义的client并附送了一个ticket
用户（浏览器）访问 http://client/clientapp？ticket=xxxxxxx
casclient检测到有用户未登录，并有ticket参数。则在后台向casserver 发送了server validate请求。
casserver收到cas client 的验证请求。返回成功或者失败
casclient收到来自casserver的用户返回值，如果（成功）{do filter}否则{将用户重定向到casserver 登录页面}

用户（浏览器）访问http://client/clientappB
casclient检测到用户未登录，会重定向到casserver
casserver有已经登录的cookie参数，casserver会拿到ticket并重定向给casclient
用户（浏览器）访问 http://client/clientappB？ticket=xxxxxxx
casclient检测到有用户未登录，并有ticket参数。则在后台向casserver 发送了server validate请求。
casserver收到cas client 的验证请求。返回成功或者失败
casclient收到来自casserver的用户返回值，如果（成功）{do filter}否则{将用户重定向到casserver 登录页面}
但是对用户登录appB这个过程来说，只是用户（浏览器）各种被重定向的过程。也就是说，对于用户来说是透明的。于是就此实现了单点登录过程。
用户（浏览器）访问http://client/clientapp
casclient检测到用户已经登录。放行。


-------------------------------------用户登出流程------------------------------------
用户（浏览器） 访问http://client/clientapp/loginout
casclient会检测到该请求，并发送一个loginout请求到casserver
casserver收到该请求，会迭代本文红色字体那行的map，并迭代取出所有的client的url地址。
casserver迭代请求该这些url地址，并附带一个requestCode。。。忘记什么名字了，就是一个参数，表示是登出操作。
casclient接收到该参数，将session销毁，完成登出操作
casclientB接收到该参数，将session销毁，完成登出操作
用户（浏览器）被重定向到casserver 到登陆页面
至此，登出完毕。


联系
我们