cas单点登录的初步了解

特别声明，楼主学一个技术的时候一般会选择去该技术官网学习，拿到一手资料，毕竟别人翻译过的总会和自己的了解有一些偏差，所以对于这次要和大家分享的这个单点登录cas我大概会根据官网提供的信息加上我自己的一些理解和大家一一道来，如有存在疑问或者不恰当的地方，欢迎大家指正。

一、首先看一下结构图

从结构图我们可以看出，cas由cas客户端和服务端两部分组成，他们通过不同的协议（cas protocol、saml protocol、oauth）进行通信。

System Components

下面简单介绍一下这两个组件

cas server

cas server 在 spring框架上使用java servlet 构建，主要职责是通过发放票据（tickets）和验证票据为使用cas的应用系统提供用户认证和访问控制，当用户登录成功后，cas server 会创建sso session，并且给用户发放ticket-granting ticket (TGT)。然后经过用户请求的浏览器重定向将st（service ticket）传递到应用系统，这里是以TGT作为令牌。随后应用系统会通过服务端通信的方式向cas server验证st，验证成功后，将受限资源返回给用户

cas client

cas client 在我们日常使用当中有两个不同的含义，一个是使用cas的应用，它可以通过cas支持的协议和server进行通信，另一个是以软件包的形式存在，使用不同的平台和应用在认证协议之上（(CAS, SAML, OAuth等)）与server进行通信。现在的cas client可以支持多平台和产品

Platforms:

• Apache httpd Server (mod_auth_cas module)
• Java (Java CAS Client)
• .NET (.NET CAS Client)
• PHP (phpCAS)
• Perl (PerlCAS)
• Python (pycas)
• Ruby (rubycas-client)

Applications:

• Outlook Web Application (ClearPass + .NET CAS Client)
• Atlassian Confluence
• Atlassian JIRA
• Drupal
• Liferay
• uPortal

如果在本文中不做特殊说明，cas client 都代表了第一种情况

Protocols

客户端通过几种支持的协议与服务端进行通信，所有支持的协议概念上都是类似的，但是为了满足不同的应用的使用场景各自也有一些不同的特征和特点。比如cas protocol支持代理（proxy）认证，SAML protocol支持属性释放和单点登出，属性释放和单点登出就不在此做阐述，可自行百度，若需要特殊说明，可在留言中回复

Supported protocols（支持的协议）:

• CAS (versions 1, 2, and 3)
• SAML 1.1
• OpenID
• OAuth (1.0, 2.0)

Software Components（程序包组件）

我们从三个层次的子系统去描述cas server ，这也是官方的建议

• Web (Spring MVC/Spring Webflow)
• Ticketing
• Authentication

几乎所有的部署注意事项和组件的配置都与这三个子系统有关联。web层是所有与包含CAS clients的外部系统通信的端点，web层委托ticketing子系统为客户端的访问产生票据，sso session是当验证成功后以TGT的发放而产生的。因此ticketing 子系统要经常委托与authentication子系统。

与Spring Framework的关系

cas使用了spring framework的好多方面，尤其是springmvc和spring webflow。spring为cas的核心代码和部署提供了完整的和可扩展的支持。