CAS单点登录(SSO)完整教程
2015-11-23 10:24
281 查看
欢迎入群技术交流:466355109,技术不全没关系,只要有交流的心就尽管来吧
CAS单点登录(SSO)完整教程(2012-02-01更新)
一、教程说明
前言
教程目的:从头到尾细细道来单点登录服务器及客户端应用的每个步骤单点登录(SSO):请看百科解释猛击这里打开
本教程使用的SSO服务器是Yelu大学研发的CAS(Central Authentication Server),
官网:http://www.jasig.org/cas
本教程环境:
Tomcat6.0.29JDK6
CAS Server版本:cas-server-3.4.3.1、cas-server-3.4.10
CAS Client版本:cas-client-3.1.12、cas-client-3.2.1
教程撰写日期:2010-11-05(第一版)、2011-11-05(一年后更新)、2012-02-01(异常处理)
教程作者:咖啡兔
二、创建证书
啰嗦几句:证书是单点登录认证系统中很重要的一把钥匙,客户端于服务器的交互安全靠的就是证书;本教程由于是演示所以就自己用JDK自带的keytool工具生成证书;如果以后真正在产品环境中使用肯定要去证书提供商去购买,证书认证一般都是由VeriSign认证,中文官方网站:http://www.verisign.com/cn/用JDK自带的keytool工具生成证书:
keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey
无图不给力,有图有真相:
![](http://www.kafeitu.me/files/2010/11/use-keytool-create-key.gif)
具体的输入项图片中都有说明,有一点我要解释一下;在输入完密码后提示输入域名是我输入的是sso.wsria.com,其实这个域名是不存在的,但是我为了演示所以虚拟了这个域名,技巧在于修改
C:\Windows\System32\drivers\etc\hosts
添加内容如下:
127.0.0.1 sso.wsria.com
这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机
严重提醒:提示输入域名的时候不能输入IP地址
三、导出证书
D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey
特别提示:如果提示:
keytool error: java.io.IOException: Keystore was tampered with, or password was incorrect
那么请输入密码:changeit
来点颜色:
![](http://www.kafeitu.me/files/2010/11/use-keytool-export-crt.gif)
至此导出证书完成,可以分发给应用的JDK使用了,接下来讲解客户端的JVM怎么导入证书。
四、为客户端的JVM导入证书
keytool -import -keystore D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security\cacerts -file D:/keys/wsria.crt -alias wsria
来点颜色瞧瞧:
![](http://www.kafeitu.me/files/2010/11/use-keytool-import-crt-to-client-jvm.gif)
特别说明
D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security -- 是jre的目录;密码还是刚刚输入的密码。至此证书的创建、导出、导入到客户端JVM都已完成,下面开始使用证书到Web服务器中,本教程使用tomcat。五、应用证书到Web服务器-Tomcat
说是应用起始做的事情就是启用Web服务器(Tomcat)的SSL,也就是HTTPS加密协议,为什么加密我就不用啰嗦了吧…… 准备好一个干净的tomcat,本教程使用的apache-tomcat-6.0.29 打开tomcat目录的conf/server.xml文件,开启83和87行的注释代码,并设置keystoreFile、keystorePass修改结果如下:?
参数说明:
keystoreFile:在第一步创建的key存放位置keystorePass:创建证书时的密码
好了,到此Tomcat的SSL启用完成,现在你可以启动tomcat试一下了,例如本教程输入地址:https://sso.wsria.com:8443/ 打开的是:
![](http://www.kafeitu.me/files/2010/11/explorer-tip-unsafe-crt-1.gif)
好的,那么我们点击“继续浏览此网站(不推荐)。现在进入Tomcat目录了吧,如果是那么你又向成功迈进了一步。
OK,接下来要配置CAS服务器了。
六、CAS服务器初体验
CAS服务端下载:http://www.jasig.org/cas/download下载完成后将cas-server-3.4.3.1.zip解压,解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war,改名为cas,然后复制cas目录到你的tomcat/webapp目录下
现在可以访问CAS应用了,当然要使用HTTPS加密协议访问,例如本教程地址:https://sso.wsria.com:8443/cas/login ,现在打开了CAS服务器的页面输入admin/admin点击登录(CAS默认的验证规则只要用户名和密码相同就通过)所以如果你看到下面的这张图片你就成功了
![](http://www.kafeitu.me/files/2010/11/cas-login-success.gif)
你成功了吗?如果没有成功请再检查以上步骤!
2011-11-05更新说明
使用Maven构建:
使用cmd或者shell进入cas-server-3.4.10目录,运行:?
打包完成后就可以从cas-server-webapp/target/cas.war复制到你的tomcat/webapp中;或者直接复制cas-server-webapp/target/cas-server-webapp-3.4.10目录到tomcat/webapp目录下,其他步骤和上面一样。
七、CAS服务器深入配置
上面的初体验仅仅是简单的身份验证,实际应用中肯定是要读取数据库的数据,下面我们来进一步配置CAS服务器怎么读取数据库的信息进行身份验证。 首先打开tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml
配置的地方如下:
找到第92行处,注释掉:SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler,这个是比较简单的,只是判断用户名和密码相同即可通过,这个肯定不能在实际应用中使用,弃用!
注释掉92行后在下面添加下面的代码:
?
?
配置解释:
QueryDatabaseAuthenticationHandler,是cas-server-support-jdbc提供的查询接口其中一个,QueryDatabaseAuthenticationHandler是通过配置一个 SQL 语句查出密码,与所给密码匹配dataSource,我就不用解释了吧,就是使用JDBC查询时的数据源
sql,语句就是查询哪一张表,本例根据t_admin_user表的login_name字段查询密码,CAS会匹配用户输入的密码,如果匹配则通过;下面是t_admin_user的表结构:
?
八、配置CAS客户端
添加cas-client的jar包,有两种方式:传统型
下载cas-client,地址:http://www.ja-sig.org/downloads/cas-clients/,然后解压cas-client-3.1.12.zip,在modules文件夹中有需要的jar包,请根据自己的项目情况选择使用2011-11-05更新:
用maven打包server的方式一样,在cas-client-3.2.1目录中运行命令:
?
Maven型
?
设置filter
编辑web.xml,然后粘贴下面的代码:?
利用AutoSetUserAdapterFilter自动根据CAS信息设置Session的用户信息
先看一下这个AutoSetUserAdapterFilter.java的源码好的,如果你是老程序员应该很快就清楚Filter的目的,如果不太懂我再讲解一下; 主要是通过CAS的const_cas_assertion获取从CAS服务器登陆的用户名,然后再根据系统内部的用户工具(UserUtil.java)来判断是否已经登录过,如果没有登录根据登录名从数据库查询用户信息,最后使用设置把用户信息设置到当前session中。
这样就把用户信息保存到了Sessino中,我们就可以通过UserUtil工具来获取当前登录的用户了,我在实例项目中也加入了此功能演示,请看代码:main.jsp的第44行处
补充一下:
如果是为一个老项目添加单点登录功能,那么基本不需要其他的修改,设置好上面的filter即可;当然最好获取用户信息的地方都调用一个工具类,统一管理不容易出错。九、单点退出
这个比较简单,把你的退出链接设置为:https://sso.wsria.com/cas/logout 即可。十、美化CAS服务器界面
CAS服务端(cas-server)的界面只能在测试的时候用一下,真正系统上线肯定需要定制开发自己的页面,就像网易和CSDN的统一认证平台一样,所有子系统的认证都通过此平台来转接,大家可以根据他们的页面自己定制出适合所属应用或者公司的界面;简单介绍一下吧,复制cas\WEB-INF\view\jsp\default\ui的一些JSP文件,每一个文件的用途文件名已经区分了,自己修改了替换一下就可以了。 例如:
登录界面:casLoginView.jsp
登录成功:casGenericSuccess.jsp
登出界面:casLogoutView.jsp
十一、结束语
花了一下午时间终于写完了,总共十项也算完美了。 现在看来起始利用CAS实现单点登录其实不难,不要畏惧,更不要排斥! 本教程后面的代码部分均来自http://code.google.com/p/wsria的项目分支wsria-demo-sso
和本教程相关资料下载
本教程使用的演示程序,点击这里使用keytool生成的key和证书,点击这里
到此本教程全部结束,希望看完后对你有帮助,如果有帮助还望继续推荐给其他人,有说明意见或者问题请回复或者IM联系我。
十二、疑难问题
如果遇到了意料之外的问题请参考文章的评论部分,或许能找到问题的原因以及解决办法!
javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver found
由于创建证书的域名和在应用中配置的cas服务域名不一致导致以下错误,详细请参考:由于创建证书的域名和在应用中配置的cas服务域名不一致导致以下错误:SEVERE: javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver foundjavax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver found at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Alerts.java:174) at com.sun.net.ssl.internal.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1731) at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:241) at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:235) at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1206) at com.sun.net.ssl.internal.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:136) at com.sun.net.ssl.internal.ssl.Handshaker.processLoop(Handshaker.java:593) at com.sun.net.ssl.internal.ssl.Handshaker.process_record(Handshaker.java:529) at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:925) at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1170) at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1197) at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1181) at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:434) at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:166) at sun.net.www.protocol.http.HttpURLConnection.getInputStream(HttpURLConnection.java:1172) at sun.net.www.protocol.https.HttpsURLConnectionImpl.getInputStream(HttpsURLConnectionImpl.java:234) at org.jasig.cas.client.validation.AbstractCasProtocolUrlBasedTicketValidator.retrieveResponseFromServer(AbstractCasProtocolUrlBasedTicketValidator.java:35) at org.jasig.cas.client.validation.AbstractUrlBasedTicketValidator.validate(AbstractUrlBasedTicketValidator.java:178) at org.jasig.cas.client.validation.AbstractTicketValidationFilter.doFilter(AbstractTicketValidationFilter.java:132) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.jasig.cas.client.authentication.AuthenticationFilter.doFilter(AuthenticationFilter.java:111) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.jasig.cas.client.session.SingleSignOutFilter.doFilter(SingleSignOutFilter.java:99) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:233) at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:191) at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:127) at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102) at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:109) at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:298) at org.apache.coyote.http11.Http11Processor.process(Http11Processor.java:859) at org.apache.coyote.http11.Http11Protocol$Http11ConnectionHandler.process(Http11Protocol.java:588) at org.apache.tomcat.util.net.JIoEndpoint$Worker.run(JIoEndpoint.java:489) at java.lang.Thread.run(Thread.java:662)Caused by: java.security.cert.CertificateException: No name matching casserver found at sun.security.util.HostnameChecker.matchDNS(HostnameChecker.java:210) at sun.security.util.HostnameChecker.match(HostnameChecker.java:77) at com.sun.net.ssl.internal.ssl.X509TrustManagerImpl.checkIdentity(X509TrustManagerImpl.java:264) at com.sun.net.ssl.internal.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:250) at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1185) ... 32 moreFeb 1, 2012 10:01:28 PM org.jasig.cas.client.validation.AbstractTicketValidationFilter doFilterWARNING: org.jasig.cas.client.validation.TicketValidationException: The CAS server returned no response.org.jasig.cas.client.validation.TicketValidationException: The CAS server returned no response. at org.jasig.cas.client.validation.AbstractUrlBasedTicketValidator.validate(AbstractUrlBasedTicketValidator.java:181) at org.jasig.cas.client.validation.AbstractTicketValidationFilter.doFilter(AbstractTicketValidationFilter.java:132) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.jasig.cas.client.authentication.AuthenticationFilter.doFilter(AuthenticationFilter.java:111) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.jasig.cas.client.session.SingleSignOutFilter.doFilter(SingleSignOutFilter.java:99) at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235) at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206) at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:233) at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:191) at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:127) at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102) at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:109) at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:298) at org.apache.coyote.http11.Http11Processor.process(Http11Processor.java:859) at org.apache.coyote.http11.Http11Protocol$Http11ConnectionHandler.process(Http11Protocol.java:588) at org.apache.tomcat.util.net.JIoEndpoint$Worker.run(JIoEndpoint.java:489) at java.lang.Thread.run(Thread.java:662)
view rawgistfile1.txtThis
Gist brought to you by GitHub.
十三、更新记录_2011-11-05
整整一年之后因为需要为客户搭建CAS换季再次更新本文章,不知道碰巧呢碰巧呢还是碰巧呢,反正就是11.5号了…… 在这里还要感谢大家对我的支持,要不然这篇教程也不会一直处于本博客的第一位……不知道从哪个版本开始cas全面使用了maven构建项目,所以需要安装apache maven工具来构建源码,下面step by step讲解如何构建(面向没有接触过maven的童鞋)
下载Maven:打开http://maven.apache.org/download.html后下载对应的包,windows用户请下载Binary zip格式的压缩包,linux或者unix用户请下载Binary
tar.gz**格式的压缩包
安装、配置Maven:解压压缩包到一个目录,例如/home/kafeitu/tools/apache/apache-maven-3.0.3,然后设置系统环境变量M3_HOME=/home/kafeitu/tools/apache/apache-maven-3.0.3,在PAT变量中添加路径
windows用户:;%M3_HOME%/bin
Linux用户:在.bashrc或者/et/profile文件中找到PATH,添加:$M3_HOME/bin
验证安装:重新打开一个命令窗口,
linux用户可以运行:
?
?
在cmd或者shell中进入解压的cas server目录后运行:mvn -version后如果看到打印系统信息和maven版本信息后证明配置ok
十四、更新记录_2011-11-18
你也可以申请免费的StartSSL CA证书: StartSSL(公司名:StartCom)也是一家CA机构,它的根证书很久之前就被一些具有开源背景的浏览器支持(Firefox浏览器、谷歌Chrome浏览器、苹果Safari浏览器等)。 申请地址:http://www.startssl.com 申请方法参考:http://www.linuxidc.com/Linux/2011-11/47478.htm相关文章推荐
- MyBatis批量操作报错:Parameter 'xxxList' not found. Available parameters are [list]
- Median Of Two Sorted Arrays
- T420测试下可用:解决VMWARE 虚拟机安装64位系统“此主机支持 Intel VT-x,但 Intel VT-x 处于禁用状
- hdu5567解题报告/#63 (div.2) 1001
- Kibana User Guide [4.2] » Visualize » Metric
- 通过金矿模型介绍动态规划
- 在驱动中定义中断
- 时间转换,自适应文字高度,手机和邮箱验证
- background-size background-positon合并的写法
- Oracle--用户管理与权限分配
- .top域名总量15强:西数易名中国数据占前三
- Caused by: java.lang.IllegalArgumentException: Can't use FLAG_RECEIVER_BOOT_UPGRADE here的解决
- 在ubuntu上软件安装的几种格式dev,rpm,bin,tar.gz
- 读写XML
- ORACLE用JDBC操作CLOB
- 使用JavaMail接收邮件的示例
- Unity3D游戏开发之C++插件接入
- 最简单Android音乐播放器
- Android编程实现泡泡聊天界面实例详解(附源码)
- ie6,ie7常见兼容性问题总结