CAS的单点登录和OAuth2区别、应用场景

OAuth2

OAuth2的设计背景，在于允许用户在不告知第三方自己的帐号密码情况下，通过授权方式，让第三方服务可以获取自己的资源信息。
详细的协议介绍，开发者可以参考RFC 6749。

下面简单说明OAuth2中最经典的Authorization Code模式，流程如下：

流程图中，包含四个角色。

• ResourceOwner为资源所有者，即为用户
• User-Agent为浏览器
• AuthorizationServer为认证服务器，可以理解为用户资源托管方，比如企业微信服务端
• Client为第三方服务

调用流程为：
A) 用户访问第三方服务，第三方服务通过构造OAuth2链接（参数包括当前第三方服务的身份ID，以及重定向URI），将用户引导到认证服务器的授权页
B) 用户选择是否同意授权
C) 若用户同意授权，则认证服务器将用户重定向到第一步指定的重定向URI，同时附上一个授权码。
D) 第三方服务收到授权码，带上授权码来源的重定向URI，向认证服务器申请凭证/令牌。（令牌是短期的，随时可控）
E) 认证服务器检查授权码和重定向URI的有效性，通过后颁发AccessToken（调用凭证）

D)与E)的调用为后台调用，不通过浏览器进行

第三方服务代码示例 

CAS

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对用户的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登录时，重定向到 CAS Server。下图是 CAS 最基本的协议过程： 

SSO单点登录访问流程主要有以下步骤：
1. 访问服务：SSO客户端发送请求访问应用系统提供的服务资源。

2. 定向认证：SSO客户端会重定向用户请求到SSO服务器。

3. 用户认证：用户身份认证。

4. 发放票据：SSO服务器会产生一个随机的Service Ticket。

5. 验证票据：SSO服务器验证票据Service Ticket的合法性，验证通过后，允许客户端访问服务。

6. 传输用户信息：SSO服务器验证票据通过后，传输用户认证结果信息给客户端。

 

总结

1、OAuth2：Client端(第三方服务)是资源消费端，通过用户授权，允许用户不提供自己账号密码的情况下，使Client端有权访问用户资源(如个人信息、通讯录等)；(如QQ授权页面，通过授权，使第三方服务有权访问QQ用户个人资料等)

2、CAS：Client端(应用系统)是资源存储端，用户是资源消费者(应用使用者)；CAS使各Client端(应用系统)使用统一的用户账号密码信息进行身份认证；

3、需要统一的账号密码进行身份认证，用CAS；需要授权第三方服务使用我方资源，使用OAuth2；

OAuth2 参考 https://work.weixin.qq.com/api/doc/90000/90135/91020   

                     http://www.ruanyifeng.com/blog/2019/04/oauth_design.html

CAS参考 https://www.cnblogs.com/Eleven-Liu/p/10336181.html

               https://www.cnblogs.com/btgyoyo/p/10722010.html