cas深度解析：cas 客户端是如何验证serviceTicket（简称st

文章目录

• • 一、Cas ticket两种验证方式
• • 1-1 基于TicketValidator

• 1-2 Filter

一、Cas ticket两种验证方式

---

本以为cas源码中提供的仅一种方式，于是乎想一探究竟，居然发现了多种。

cas ticke验证方式大体上讲有2个体系：

• AbstractTicketValidationFilter，基于Filter的ticket的验证；

• AbstractUrlBasedTicketValidator，基于TicketValidator的验证；

1-1 基于TicketValidator

有几个实现类

• Cas20ServiceTicketValidator

• Cas20ProxyTicketValidator

• 等等

接下来看一下Cas20ServiceTicketValidator类图：

AbstractUrlBasedTicketValidator中有个validate方法：

public Assertion validate(final String ticket, final String service) throws TicketValidationException {

final String validationUrl = constructValidationUrl(ticket, service);

if (log.isDebugEnabled()) {

log.debug("Constructing validation url: " + validationUrl);

}

try {

log.debug(“Retrieving response from server.”);

//从后端访问cas Server验证st的有效性

final String serverResponse = retrieveResponseFromServer(new URL(validationUrl), ticket);

if (serverResponse == null) {

throw new TicketValidationException(“The CAS server returned no response.”);

}

if (log.isDebugEnabled()) {

log.debug("Server response: " + serverResponse);

}

//根据服务端的返回信息解析用户数据

return parseResponseFromServer(serverResponse);

} catch (final MalformedURLException e) {

throw new TicketValidationException(e);

}

}

org.jasig.cas.client.validation.Cas20ServiceTicketValidator#parseResponseFromServer

protected final Assertion parseResponseFromServer(final String response) throws TicketValidationException {

final String error = XmlUtils.getTextForElement(response,

“authenticationFailure”);

if (CommonUtils.isNotBlank(error)) {

throw new TicketValidationException(error);

}

final String principal = XmlUtils.getTextForElement(response, “user”);

final String proxyGrantingTicketIou = XmlUtils.getTextForElement(response, “proxyGrantingTicket”);

final String proxyGrantingTicket = this.proxyGrantingTicketStorage != null ? this.proxyGrantingTicketStorage.retrieve(proxyGrantingTicketIou) : null;

if (CommonUtils.isEmpty(principal)) {

throw new TicketValidationException(“No principal was found in the response from the CAS server.”);

}

final Assertion assertion;

final Map<String,Object> attributes = extractCustomAttributes(response);

if (CommonUtils.isNotBlank(proxyGrantingTicket)) {

final AttributePrincipal attributePrincipal = new AttributePrincipalImpl(principal, attributes, proxyGrantingTicket, this.proxyRetriever);

assertion = new AssertionImpl(attributePrincipal);

} else {

assertion = new AssertionImpl(new AttributePrincipalImpl(principal, attributes));

}

customParseResponse(response, assertion);

return assertion;

}

1-2 Filter

当时这个项目是基于Filter集成的，在web.xml中配置了ticket验证的Filter。

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加V获取：vip1024b （备注Java）

笔者福利

以下是小编自己针对马上即将到来的金九银十准备的一套“面试宝典”，不管是技术还是HR的问题都有针对性的回答。

有了这个，面试踩雷？不存在的！

回馈粉丝，诚意满满！！！

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

[外链图片转存中…(img-fwNw2mKN-1712628652556)]
[外链图片转存中…(img-S7nSGmce-1712628652556)]

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-o1cvq90X-1712628652556)]