CAS 入門實戰(3)--客戶端接入

本文主要介紹 CAS 客戶端的接入，使用到的軟體版本：JDK 1.8.0_191、Tomcat 8.5.76、SpringBoot 2.5.11、CAS 5.3.16、CAS Client 3.6.4，

1、服務端準備

這里假設服務端已經安裝完畢，地址為：http://127.0.0.1:8080/cas，服務端的安裝方法可參考：CAS 入門實戰(2)--服務端安裝，

2、普通 Java Web 應用接入

這里客戶端的應用地址為：http://127.0.0.1:9090/cas-client，

2.1、引入依賴

<dependency>
    <groupId>org.jasig.cas.client</groupId>
    <artifactId>cas-client-core</artifactId>
    <version>3.6.4</version>
</dependency>

如果不是使用 maven 來構建專案，可以手動下載對應的包后放到應用的 lib 下，

2.2、配置 AuthenticationFilter

該型別過濾器用于檢測用戶是否需要進行身份驗證；如果需要，則會將用戶重定向到 CAS 服務器，有兩個可選的過濾器：

org.jasig.cas.client.authentication.AuthenticationFilter
org.jasig.cas.client.authentication.Saml11AuthenticationFilter

這里使用 org.jasig.cas.client.authentication.AuthenticationFilter，在 web.xml  增加如下配置：

<filter>
    <filter-name>CAS Authentication Filter</filter-name>
    <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>
    <init-param>
        <param-name>casServerUrlPrefix</param-name>
        <param-value>http://127.0.0.1:8080/cas</param-value>
    </init-param>
    <init-param>
        <param-name>serverName</param-name>
        <param-value>http://127.0.0.1:9090</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CAS Authentication Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

org.jasig.cas.client.authentication.AuthenticationFilter 過濾器的引數說明如下：

ignoreUrlPatternType 支持的型別說明如下：

2.3、配置 TicketValidationFilter

該型別過濾器負責對票據進行驗證，有多個可選的過濾器:

org.jasig.cas.client.validation.Cas10TicketValidationFilter
org.jasig.cas.client.validation.Saml11TicketValidationFilter
org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter
org.jasig.cas.client.validation.json.Cas30JsonProxyReceivingTicketValidationFilter

這里使用 org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter，在 web.xml  增加如下配置：

<filter>
    <filter-name>CAS Validation Filter</filter-name>
    <filter-class>org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter</filter-class>
    <init-param>
        <param-name>casServerUrlPrefix</param-name>
        <param-value>http://127.0.0.1:8080/cas</param-value>
    </init-param>
    <init-param>
        <param-name>serverName</param-name>
        <param-value>http://127.0.0.1:9090</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CAS Validation Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter 過濾器的引數說明如下：

如果設定了 acceptAnyProxy 或 allowedProxyChains 引數，則會創建 Cas30ProxyTicketValidator；否則創建不支持代理票據的 Cas30ServiceTicketValidator，

2.4、配置 HttpServletRequestWrapperFilter(可選)

包裝 HttpServletRequest 的過濾器，getRemoteUser 和 getPrincipal 方法會回傳與 CAS 相關的物體資訊，在 web.xml  增加如下配置：

<filter>
  <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
  <filter-class>org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>
</filter>
<filter-mapping>
  <filter-name>CAS HttpServletRequest Wrapper Filter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

該過濾器的引數說明如下：

2.5、配置 AssertionThreadLocalFilter(可選)

該過濾器把登錄資訊放入 ThreadLocal 中，可以通過 org.jasig.cas.client.util.AssertionHolder 來獲取用戶資訊(AssertionHolder.getPrincipal())，這在無法使用 HttpServletRequest 時很有用，在 web.xml  增加如下配置：

<filter>
  <filter-name>CAS Assertion Thread Local Filter</filter-name>
  <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>
</filter>
<filter-mapping>
  <filter-name>CAS Assertion Thread Local Filter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

2.6、配置 ErrorRedirectFilter(可選)

 該過濾器用于發生例外時，重定向到指定的地址，在 web.xml  增加如下配置：

<filter>
  <filter-name>CAS Error Redirect Filter</filter-name>
  <filter-class>org.jasig.cas.client.util.ErrorRedirectFilter</filter-class>
  <init-param>
    <param-name>java.lang.Exception</param-name>
    <param-value>/yourapp/error.jsp</param-value>
  </init-param>
  <init-param>
    <param-name>defaultErrorRedirectPage</param-name>
    <param-value>/yourapp/defaulterror.jsp</param-value>
  </init-param>
</filter>
<filter-mapping>
  <filter-name>CAS Error Redirect Filter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

該過濾器的引數說明如下：

2.7、單點登出(可選)

2.7.1、單點登錄服務端配置

在 WEB-INF\classes\application.properties 檔案，增加如下配置：

#允許登出后跳轉到指定頁面
cas.logout.followServiceRedirects=true
#登出后重定向地址的引數名
cas.logout.redirectParameter=service
#登出后默認的重定向地址
#cas.logout.redirectUrl=http://127.0.0.1:9090
#登出時是否彈出確認框
cas.logout.confirmLogout=false
#是否移除子系統的票據
cas.logout.removeDescendantTickets=true
#是否禁用單點登出
#cas.slo.disabled=true
#是否默認異步通知客戶端清除session
cas.slo.asynchronous=false

2.7.2、單點登錄客戶端配置

單點登出客戶端需要配置一個 SingleSignOutFilter 和一個 ContextListener，SingleSignOutFilter 需要配置在其他過濾器的最前面，在 web.xml  增加如下配置：

<listener>
      <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>
  </listener>
  <filter>
      <filter-name>CAS Single Sign Out Filter</filter-name>
      <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>
      <init-param>
          <param-name>logoutCallbackPath</param-name>
          <param-value>http://127.0.0.1:9090/cas_client_tomcat_war_exploded/test.jsp</param-value>
      </init-param>
  </filter>
  <filter-mapping>
      <filter-name>CAS Single Sign Out Filter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>

SingleSignOutFilter 過濾器的引數說明如下：

2.8、撰寫測驗頁面

這里寫個簡單的 JSP，在頁面中獲取用戶的資訊(web.xml 中需配置 HttpServletRequestWrapperFilter 和 單點登出)：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="org.jasig.cas.client.authentication.AttributePrincipal"%>
<%
    String remoteUser = request.getRemoteUser();
    AttributePrincipal principal = (AttributePrincipal)request.getUserPrincipal();
    String attributes = principal.getAttributes().toString();
%>
<html>
<head>
    <title>Title</title>
</head>
<body>
remoteUser:<%=remoteUser%>
principalName:<%=principal.getName()%>
principalAttributes:<%=attributes%>

<br><a href="http://127.0.0.1:8080/cas/logout?service=http://127.0.0.1:9090/cas-client/index.jsp">logout</a>
</body>
</html>

2.9、部署 Web 應用

部署 Web 應用到 Java Web 應用服務器（如：Tomcat）中即可，

3、SpringBoot 應用接入

3.1、引入依賴

<dependency>
    <groupId>org.jasig.cas.client</groupId>
    <artifactId>cas-client-support-springboot</artifactId>
    <version>3.6.4</version>
</dependency>

3.2、增加 CAS 相關配置

在 application.yml 中增加如下配置：

cas:
  server-login-url: http://127.0.0.1:8080/cas/login #cas服務端登錄地址
  server-url-prefix: http://127.0.0.1:8080/cas #cas服務端地址
  client-host-url: http://127.0.0.1:9090 #客戶端地址
  validation-type: cas3  #驗證使用的協議

server:
  port: 9090

其他的可選引數如下：

• cas.single-logout.enabled  是否單點登出，默認false
• cas.authentication-url-patterns 與AuthenticationFilter作用類似，默認/*
• cas.validation-url-patterns 與TicketValidationFilter作用類似，默認/*
• cas.request-wrapper-url-patterns 與HttpServletRequestWrapperFilter作用類似，默認/*
• cas.assertion-thread-local-url-patterns
• cas.gateway
• cas.use-session
• cas.attribute-authorities
• cas.redirect-after-validation
• cas.allowed-proxy-chains
• cas.proxy-callback-url
• cas.proxy-receptor-url
• cas.accept-any-proxy
• server.context-parameters.renew

3.3、啟動類增加 @EnableCasClient

@EnableCasClient
@SpringBootApplicationpublic class CasApplication {...}

3.4、撰寫測驗 Controller

package com.abc.controller;

import org.jasig.cas.client.authentication.AttributePrincipal;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;

import javax.servlet.http.HttpServletRequest;

@RequestMapping("/test")
@Controller
public class TestController {
    private static Logger logger = LoggerFactory.getLogger(TestController.class);

    @ResponseBody
    @RequestMapping("/getUser")
    public String test1(HttpServletRequest request) {
        String remoteUser = request.getRemoteUser();
        AttributePrincipal principal = (AttributePrincipal)request.getUserPrincipal();
        return "remoteUser=" + remoteUser + ",principalName=" + principal.getName() + ",principalAttributes=" + principal.getAttributes();
    }
}

啟動應用后訪問：http://127.0.0.1:9090/test/getUser，登錄后頁面回傳用戶相關資訊，

4、CAS 客戶端集群接入

如果客戶端是集群的話，可以使用 Spring Session 來實作同一型別的各客戶端節點的 Session 共享；前端使用代理服務器來代理，

4.1、集群創建

Spring Session 的使用可參考：https://www.cnblogs.com/wuyongyin/p/11775849.html，這里就不詳述了，假設使用上面的 SpringBoot 應用來組建集群：

啟動節點1：

java -Dcas.client-host-url=http://127.0.0.1:9092 -Dserver.port=9090 -jar cas-client-springboot-1.0.0.jar

啟動節點2

java -Dcas.client-host-url=http://127.0.0.1:9092 -Dserver.port=9091 -jar cas-client-springboot-1.0.0.jar

配置 nginx 代理：

upstream cas {
    server 127.0.0.1:9090 weight=1;
    server 127.0.0.1:9091 weight=1;
    #ip_hash;
}

server {
    listen       9092;
    server_name  localhost;
    location / {
          proxy_pass http://cas;
    }   
}

啟動 ngxin 并訪問代理地址：http://127.0.0.1:9092/test/getUser，

4.2、集群單點登出

使用 Spring Session 后，單點登出客戶端的 Session 還是存在的，可能是 CAS 客戶端還不能和 Spring Session 結合使用，處理方法：

1、先呼叫客戶端的一個請求，在該請求中使用 Session 失效：

@ResponseBody
@RequestMapping("/logout")
public String logout(HttpSession session) {
    session.invalidate();
    return "logout success";
}

2、再訪問單點登出的地址 http://127.0.0.1:8080/cas/logout?service=http://127.0.0.1:9092/test/getUser，

CAS 客戶端接入的詳細說明可參考官網說明：https://github.com/apereo/java-cas-client，

標籤：Java

上一篇：Spring事務原始碼解讀

下一篇：JavaWeb環境配置