单点登录实例解析

本文目录：

• 一、概述
• 二、演示环境
• 三、JDK安装配置

• 四、安全证书配置
• 五、部署CAS-Server相关的Tomcat

• 六、部署CAS-Client相关的Tomcat
• 七、 测试验证SSO

 

 

一、概述

此文的目的就是为了帮助初步接触SSO和CAS的人员提供一个入门指南，一步一步演示如何实现基于CAS的单点登录。

CAS的官网：http://www.jasig.org/cas

二、演示环境

本文演示过程在同一个机器上的（也可以在三台实体机器或者三个的虚拟机上），环境如下：

• windows732位

• JDK 1.6.0_18

• Tomcat 6.0.29
• CAS-server-3.4.11、CAS-client-3.2.1

根据演示需求，用修改hosts 文件的方法添加域名，在文件 C:\Windows\System32\drivers\etc\hosts 文件中添加三条

127.0.0.1    demo.tch.com
127.0.0.1    app1.tch.com
127.0.0.1    app2.tch.com

• demo.tch.com  =>>对应部署cas server的tomcat，这个虚拟域名还用于证书生成
• app1.tch.com  =>>  对应部署app1的tomcat
• app2.tch.com   =>>对应部署app2的tomcat

 

三、JDK安装配置

因为cas是java框架，需要在JVM中运行，所以需要配置安装和配置JDK。可参考娟姐博客

Win7下配置"JAVA环境变量"

 

 

四、安全证书配置

CAS默认使用的是HTTPS协议，如果对安全要求不高，可使用HTTP协议。
      修改deployerConfigContext.xml  增加参数p:requireSecure="false"，是否需要安全验证，即HTTPS，false为不采用。
       <beanclass="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsAuthenticationHandler"p:httpClient-ref="httpClient" 
p:requireSecure="false" />

 

       修改ticketGrantingTicketCookieGenerator.xml(cas/WEB-INF/spring-configuration/ticketGrantingTicketCookieGenerator.xml) 中ticketGrantingTicketCookieGenerator p:cookieSecure 属性 修改为 false。 
       <beanid="ticketGrantingTicketCookieGenerator"class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"
p:cookieSecure="false" p:cookieMaxAge="-1"p:cookieName="CASTGC" p:cookiePath="/cas" /> 

使用HTTPS协议，步骤如下：

4.1. 生成证书：

keytool-genkey -alias ssodemo -keyalg RSA -keysize 1024 -keypass 123456 -validity 365-keystore F:\Study\Java\Projects\SSO\Demo\keys\ssodemo.keystore -storepass123456

 

ps：

• 截图中需要输入的姓名和上面hosts文件中配置的一致；

• keypass 和 storepass 两个密码要一致，否则下面tomcat 配置https 访问失败；

 

4.2.导出证书：

keytool-export -alias ssodemo -keystoreF:\Study\Java\Projects\SSO\Demo\keys\ssodemo.keystore -fileF:\Study\Java\Projects\SSO\Demo\keys\ssodemo.crt -storepass 123456

 

4.3.客户端导入证书：

keytool-import -keystore E:\Environment\java\Java1.6\jre\lib\security\cacerts -fileF:\Study\Java\Projects\SSO\Demo\keys\ssodemo.crt -alias ssodemo

ps：该命令中输入的密码和上面输入的不是同一个密码；如果是多台机器演示，需要在每一台客户端导入该证书。

有关keytool工具的详细运用见：http://www.micmiu.com/lang/java/keytool-start-guide/

 

 

五、部署CAS-Server相关的Tomcat

5.1.配置HTTPS

解压apache-tomcat-6.0.29.tar.gz并重命名后的路径为F:\Study\Java\Projects\SSO\Demo\tomcat-cas，在文件 conf/server.xml文件找到：

<!--

<Connectorport="8443" protocol="HTTP/1.1" SSLEnabled="true"

  maxThreads="150" scheme="https"secure="true"

  clientAuth="false" sslProtocol="TLS" />

 

-->

 

修改成如下：

<Connectorport="8443"protocol="org.apache.coyote.http11.Http11Protocol"SSLEnabled="true"

  maxThreads="150" scheme="https"secure="true"

  keystoreFile="F:/Study/Java/Projects/SSO/Demo/keys/ssodemo.keystore"keystorePass="123456"

  clientAuth="false" sslProtocol="TLS"URIEncoding="UTF-8"/>

参数说明：

• keystoreFile 就是4.1中创建证书的路径

• keystorePass 就是4.1中创建证书的密码

 

5.2.验证HTTPS配置

其他按照默认配置不作修改，双击%TOMCAT_HOME%\bin\startup.bat启动tomcat-cas 验证https访问配置:

 

如果看到上述界面表示https访问配置成功。

 

5.3部署CAS-Server

CAS-Server下载地址：http://www.jasig.org/cas/download

本文以cas-server-3.4.11-release.zip为例，解压提取cas-server-3.4.11/modules/cas-server-webapp-3.4.11.war文件，把改文件copy到 G:\sso\tomcat-cas\webapps\目下，并重命名为：cas.war.

启动tomcat-cas，在浏览器地址栏输入：https://demo.tch.com:8443/cas/login ，回车

CAS-server的默认验证规则：只要用户名和密码相同就认证通过（仅仅用于测试，生成环境需要根据实际情况修改），输入admin/admin 点击登录，就可以看到登录成功的页面：

看到上述页面表示CAS-Server已经部署成功。

 

六、部署CAS-Client相关的Tomcat

6.1Cas-Client下载

CAS-Client下载地址：http://downloads.jasig.org/cas-clients/

以cas-client-3.2.1-release.zip为例，解压提取cas-client-3.2.1/modules/cas-client-core-3.2.1.jar

借以tomcat默认自带的webapps\examples 作为演示的简单web项目

 

6.2 安装配置tomcat-app1

解压apache-tomcat-6.0.29.tar.gz并重命名后的路径为F:\Study\Java\Projects\SSO\Demo\tomcat-app1，修改tomcat的启动端口（共计5处），在文件conf/server.xml文件找到如下内容：

<Serverport="8005" shutdown="SHUTDOWN">

<Connectorport="8080" protocol="HTTP/1.1"

  connectionTimeout="20000"

  redirectPort="8443" />

<Connectorport="8009" protocol="AJP/1.3"redirectPort="8443" />

 

修改成如下：

<Serverport="18005" shutdown="SHUTDOWN">

<Connectorport="18080" protocol="HTTP/1.1"

  connectionTimeout="20000"

  redirectPort="18443" />

<Connectorport="18009" protocol="AJP/1.3"redirectPort="18443" />

 

 

启动tomcat-app1，浏览器输入http://app1.tch.com:18080/examples/servlets/回车：

看到上述界面表示tomcat-app1的基本安装配置已经成功。

接下来复制client的lib包cas-client-core-3.2.1.jar和commons-logging-1.1.jar到 tomcat-app1\webapps\examples\WEB-INF\lib\目录下，在tomcat-app1\webapps\examples\WEB-INF\web.xml 文件中增加如下内容：

[html]  view plain copy

1. <span style="font-size:18px;"><!-- ========================单点登录开始 ========================-->  
2.                 <!--用于单点退出，该过滤器用于实现单点登出功能，可选配置-->  
3.                 <listener>  
4.                         <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>  
5.                 </listener>  
6. <!--该过滤器用于实现单点登出功能，可选配置。-->  
7.                 <filter>  
8.                         <filter-name>CASSingle Sign OutFilter</filter-name>  
9.                         <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>  
10.                 </filter>  
11.                 <filter-mapping>  
12.                         <filter-name>CASSingle Sign Out Filter</filter-name>  
13.                         <url-pattern>/*</url-pattern>  
14.                 </filter-mapping>  
15. <filter>  
16.                         <filter-name>CASFilter</filter-name>  
17.                         <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>  
18.                         <init-param>  
19.                                 <param-name>casServerLoginUrl</param-name>  
20.                                 <param-value>https://demo.micmiu.com:8443/cas/login</param-value>  
21.                         </init-param>  
22.                         <init-param>  
23.                                 <param-name>serverName</param-name>  
24.                                 <param-value>http://app1.micmiu.com:18080</param-value>  
25.                         </init-param>  
26.                 </filter>  
27.                 <filter-mapping>  
28.                         <filter-name>CASFilter</filter-name>  
29.                         <url-pattern>/*</url-pattern>  
30.                 </filter-mapping>  
31.                 <!--该过滤器负责对Ticket的校验工作，必须启用它-->  
32.                 <filter>  
33.                         <filter-name>CASValidationFilter</filter-name>  
34.                         <filter-class>  
35.                                 org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter</filter-class>  
36.                         <init-param>  
37.                                 <param-name>casServerUrlPrefix</param-name>  
38.                                 <param-value>https://demo.micmiu.com:8443/cas</param-value>  
39.                         </init-param>  
40.                         <init-param>  
41.                                 <param-name>serverName</param-name>  
42.                                 <param-value>http://app1.micmiu.com:18080</param-value>  
43.                         </init-param>  
44.                 </filter>  
45.                 <filter-mapping>  
46.                         <filter-name>CASValidationFilter</filter-name>  
47.                         <url-pattern>/*</url-pattern>  
48.                 </filter-mapping>  
49. <!--  
50.                         该过滤器负责实现HttpServletRequest请求的包裹，  
51.                         比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。  
52.                 -->  
53.                 <filter>  
54.                         <filter-name>CASHttpServletRequest WrapperFilter</filter-name>  
55.                         <filter-class>  
56.                                 org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>  
57.                 </filter>  
58.                 <filter-mapping>  
59.                         <filter-name>CASHttpServletRequest WrapperFilter</filter-name>  
60.                         <url-pattern>/*</url-pattern>  
61.                 </filter-mapping>  
62. <!--  
63.                 该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。  
64.                 比如AssertionHolder.getAssertion().getPrincipal().getName()。  
65.                 -->  
66.                 <filter>  
67.                         <filter-name>CASAssertion Thread LocalFilter</filter-name>  
68.                         <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>  
69.                 </filter>  
70.                 <filter-mapping>  
71.                         <filter-name>CASAssertion Thread LocalFilter</filter-name>  
72.                         <url-pattern>/*</url-pattern>  
73.                 </filter-mapping>  
74. <!-- ========================单点登录结束 ======================== --></span>  

有关cas-client的web.xml修改的详细说明见官网介绍：

https://wiki.jasig.org/display/CASC/Configuring+the+Jasig+CAS+Client+for+Java+in+the+web.xml

 

6.3 安装配置 tomcat-app2

解压apache-tomcat-6.0.29.tar.gz并重命名后的路径为F:\Study\Java\Projects\SSO\Demo\tomcat-app2，修改tomcat的启动端口，在文件conf/server.xml文件找到如下内容：

<Serverport="8005" shutdown="SHUTDOWN">

<Connectorport="8080" protocol="HTTP/1.1"

  connectionTimeout="20000"

  redirectPort="8443" />

<Connectorport="8009" protocol="AJP/1.3"redirectPort="8443" />

 

修改成如下：

<Server port="28005" shutdown="SHUTDOWN">

<Connector port="28080" protocol="HTTP/1.1"

  connectionTimeout="20000"

  redirectPort="28443"/>

<Connector port="28009" protocol="AJP/1.3" redirectPort="28443" />

启动tomcat-app2，浏览器输入http://app2.tch.com:28080/examples/servlets/回车，按照上述6.2中的方法验证是否成功。

同6.2中的复制client的lib包cas-client-core-3.2.1.jar和commons-logging-1.1.jar到 tomcat-app2\webapps\examples\WEB-INF\lib\目录下，在tomcat-app2\webapps\examples\WEB-INF\web.xml 文件中增加如下内容：

[html]  view plain copy

1. <span style="font-size:18px;"><!-- ========================单点登录开始 ========================-->  
2.                 <!--用于单点退出，该过滤器用于实现单点登出功能，可选配置-->  
3.                 <listener>  
4.                         <listener-class>org.jasig.cas.client.session.SingleSignOutHttpSessionListener</listener-class>  
5.                 </listener>  
6. <!--该过滤器用于实现单点登出功能，可选配置。-->  
7.                 <filter>  
8.                         <filter-name>CASSingle Sign OutFilter</filter-name>  
9.                         <filter-class>org.jasig.cas.client.session.SingleSignOutFilter</filter-class>  
10.                 </filter>  
11.                 <filter-mapping>  
12.                         <filter-name>CASSingle Sign Out Filter</filter-name>  
13.                         <url-pattern>/*</url-pattern>  
14.                 </filter-mapping>  
15. <filter>  
16.                         <filter-name>CASFilter</filter-name>  
17.                         <filter-class>org.jasig.cas.client.authentication.AuthenticationFilter</filter-class>  
18.                         <init-param>  
19.                                 <param-name>casServerLoginUrl</param-name>  
20.                                 <param-value>https://demo.micmiu.com:8443/cas/login</param-value>  
21.                         </init-param>  
22.                         <init-param>  
23.                                 <param-name>serverName</param-name>  
24.                                 <param-value>http://app2.micmiu.com:28080</param-value>  
25.                         </init-param>  
26.                 </filter>  
27.                 <filter-mapping>  
28.                         <filter-name>CASFilter</filter-name>  
29.                         <url-pattern>/*</url-pattern>  
30.                 </filter-mapping>  
31.                 <!--该过滤器负责对Ticket的校验工作，必须启用它-->  
32.                 <filter>  
33.                         <filter-name>CASValidationFilter</filter-name>  
34.                         <filter-class>  
35.                                 org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter</filter-class>  
36.                         <init-param>  
37.                                 <param-name>casServerUrlPrefix</param-name>  
38.                                 <param-value>https://demo.micmiu.com:8443/cas</param-value>  
39.                         </init-param>  
40.                         <init-param>  
41.                                 <param-name>serverName</param-name>  
42.                                 <param-value>http://app2.micmiu.com:28080</param-value>  
43.                         </init-param>  
44.                 </filter>  
45.                 <filter-mapping>  
46.                         <filter-name>CASValidationFilter</filter-name>  
47.                         <url-pattern>/*</url-pattern>  
48.                 </filter-mapping>  
49. <!--  
50.                         该过滤器负责实现HttpServletRequest请求的包裹，  
51.                         比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。  
52.                 -->  
53.                 <filter>  
54.                         <filter-name>CASHttpServletRequest WrapperFilter</filter-name>  
55.                         <filter-class>  
56.                                 org.jasig.cas.client.util.HttpServletRequestWrapperFilter</filter-class>  
57.                 </filter>  
58.                 <filter-mapping>  
59.                         <filter-name>CASHttpServletRequest WrapperFilter</filter-name>  
60.                         <url-pattern>/*</url-pattern>  
61.                 </filter-mapping>  
62. <!--  
63.                         该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。  
64.                         比如AssertionHolder.getAssertion().getPrincipal().getName()。  
65.                 -->  
66.                 <filter>  
67.                         <filter-name>CASAssertion Thread LocalFilter</filter-name>  
68.                         <filter-class>org.jasig.cas.client.util.AssertionThreadLocalFilter</filter-class>  
69.                 </filter>  
70.                 <filter-mapping>  
71.                         <filter-name>CASAssertion Thread LocalFilter</filter-name>  
72.                         <url-pattern>/*</url-pattern>  
73.                 </filter-mapping>  
74. <!-- ========================单点登录结束 ======================== --></span>  

 

七、 测试验证SSO

启动之前配置好的三个tomcat分别为：tomcat-cas、tomcat-app1、tomcat-app2.

7.1 基本的测试

预期流程：打开app1 url —->跳转cas server验证 —->显示app1的应用 —->打开app2 url —->显示app2应用 —->注销cas server —->打开app1/app2url —->重新跳转到cas server验证.

打开浏览器地址栏中输入：http://app1.tch.com:18080/examples/servlets/servlet/HelloWorldExample

验证通过后显示如下：

 

此时访问app2就不再需要验证：

 

地址栏中输入：https://demo.tch.com:8443/cas/logout，回车显示：

上述表示认证注销成功，此时如果再访问 :http://app1.micmiu.com:18080/examples/servlets/servlet/HelloWorldExample或http://app2.micmiu.com:28080/examples/servlets/servlet/HelloWorldExample需要重新进行认证。

 

这里是源码下载http://download.csdn.net/detail/tcl_6666/6961265，欢迎互相交流，共同进步

本文转载自：http://www.kafeitu.me/sso/2010/11/05/sso-cas-full-course.html

CAS单点登录(SSO)完整教程(2012-02-01更新)

一、教程说明

前言

• 教程目的：从头到尾细细道来单点登录服务器及客户端应用的每个步骤
• 单点登录（SSO）：请看百科解释猛击这里打开
• 本教程使用的SSO服务器是Yelu大学研发的CAS(Central Authentication Server)，
  官网：http://www.jasig.org/cas

本教程环境：

• Tomcat6.0.29
• JDK6
• CAS Server版本：cas-server-3.4.3.1、cas-server-3.4.10
• CAS Client版本：cas-client-3.1.12、cas-client-3.2.1
• 教程撰写日期：2010-11-05(第一版)、2011-11-05(一年后更新)、2012-02-01(异常处理)
• 教程作者：咖啡兔

二、创建证书

啰嗦几句：证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；本教程由于是演示所以就自己用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买，证书认证一般都是由VeriSign认证，中文官方网站：http://www.verisign.com/cn/

用JDK自带的keytool工具生成证书：

keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey

无图不给力，有图有真相：

具体的输入项图片中都有说明，有一点我要解释一下；在输入完密码后提示输入域名是我输入的是sso.wsria.com，其实这个域名是不存在的，但是我为了演示所以虚拟了这个域名，技巧在于修改

C:\Windows\System32\drivers\etc\hosts

添加内容如下：

127.0.0.1  sso.wsria.com

这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机

严重提醒：提示输入域名的时候不能输入IP地址

三、导出证书

D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey

特别提示：如果提示：

keytool error: java.io.IOException: Keystore was tampered with, or password was incorrect

那么请输入密码：changeit

来点颜色：

至此导出证书完成，可以分发给应用的JDK使用了，接下来讲解客户端的JVM怎么导入证书。

四、为客户端的JVM导入证书

keytool -import -keystore D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security\cacerts -file D:/keys/wsria.crt -alias wsria

来点颜色瞧瞧：

特别说明

D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security -- 是jre的目录；密码还是刚刚输入的密码。至此证书的创建、导出、导入到客户端JVM都已完成，下面开始使用证书到Web服务器中，本教程使用tomcat。

五、应用证书到Web服务器-Tomcat

说是应用起始做的事情就是启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议，为什么加密我就不用啰嗦了吧…… 准备好一个干净的tomcat，本教程使用的apache-tomcat-6.0.29 打开tomcat目录的conf/server.xml文件，开启83和87行的注释代码，并设置keystoreFile、keystorePass修改结果如下：

?

1 2	< connector port = "8443" protocol = "HTTP/1.1" sslenabled = "true" maxthreads = "150" scheme = "https" secure = "true" clientauth = "false" sslprotocol = "TLS" keystorefile = "D:/keys/wsriakey" keystorepass = "wsria.com" > </ connector >

参数说明：

• keystoreFile：在第一步创建的key存放位置
• keystorePass：创建证书时的密码

好了，到此Tomcat的SSL启用完成，现在你可以启动tomcat试一下了，例如本教程输入地址：https://sso.wsria.com:8443/ 打开的是：

好的，那么我们点击“继续浏览此网站(不推荐)。现在进入Tomcat目录了吧，如果是那么你又向成功迈进了一步。

OK，接下来要配置CAS服务器了。

六、CAS服务器初体验

• CAS服务端下载：http://www.jasig.org/cas/download

• 下载完成后将cas-server-3.4.3.1.zip解压，解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war，改名为cas，然后复制cas目录到你的tomcat/webapp目录下

• 现在可以访问CAS应用了，当然要使用HTTPS加密协议访问，例如本教程地址：https://sso.wsria.com:8443/cas/login ，现在打开了CAS服务器的页面输入admin/admin点击登录（CAS默认的验证规则只要用户名和密码相同就通过）所以如果你看到下面的这张图片你就成功了

你成功了吗？如果没有成功请再检查以上步骤！

2011-11-05更新说明

使用Maven构建：

使用cmd或者shell进入cas-server-3.4.10目录，运行：

?

1	mvn package -pl cas-server-webapp,cas-server-support-jdbc

意思是只需要构建cas-server-webapp和cas-server-support-jdbc，如果需要其他的请根据文件夹名称设置或者构建全部模块，打包全部模块命令：mvn package 即可。打包过程中会从网络下载需要的jar包，请耐心等待；如果在~/.m2/settings.xml中定义了mirror代理，那么请把随便修改一个字符，否则下载jar包会失败！

打包完成后就可以从cas-server-webapp/target/cas.war复制到你的tomcat/webapp中；或者直接复制cas-server-webapp/target/cas-server-webapp-3.4.10目录到tomcat/webapp目录下，其他步骤和上面一样。

七、CAS服务器深入配置

上面的初体验仅仅是简单的身份验证，实际应用中肯定是要读取数据库的数据，下面我们来进一步配置CAS服务器怎么读取数据库的信息进行身份验证。 首先打开

tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml

配置的地方如下：

找到第92行处，注释掉：SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler，这个是比较简单的，只是判断用户名和密码相同即可通过，这个肯定不能在实际应用中使用，弃用！

注释掉92行后在下面添加下面的代码：

?

1 2 3 4 5

< bean class = "org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler" >      < property name = "dataSource" ref = "dataSource" ></ property >      < property name = "sql" value = "select password from t_admin_user where login_name=?" ></ property >      < property name = "passwordEncoder" ref = "MD5PasswordEncoder" ></ property > </ bean >

在文件的末尾之前加入如下代码：

?

1 2 3 4 5 6 7 8 9 10 11 12

< bean id = "dataSource" class = "org.springframework.jdbc.datasource.DriverManagerDataSource" >     < property name = "driverClassName" >< value >com.mysql.jdbc.Driver</ value ></ property >     < property name = "url" >< value >jdbc:mysql:///wsriademo</ value ></ property >     < property name = "username" >< value >root</ value ></ property >     < property name = "password" >< value >root</ value ></ property > </ bean >   < bean id = "MD5PasswordEncoder" class = "org.jasig.cas.authentication.handler.DefaultPasswordEncoder" >      < constructor-arg index = "0" >          < value >MD5</ value >      </ constructor-arg > </ bean >

复制cas-server-3.4.3.1\modules\cas-server-support-jdbc-3.4.3.1.jar和mysql驱动jar包到tomcat/webapp/cas/WEB-INF/lib目录

配置解释：

• QueryDatabaseAuthenticationHandler，是cas-server-support-jdbc提供的查询接口其中一个，QueryDatabaseAuthenticationHandler是通过配置一个 SQL 语句查出密码，与所给密码匹配

• dataSource,我就不用解释了吧，就是使用JDBC查询时的数据源

• sql，语句就是查询哪一张表，本例根据t_admin_user表的login_name字段查询密码，CAS会匹配用户输入的密码，如果匹配则通过；下面是t_admin_user的表结构：

?

1 2 3 4 5 6 7 8

create table t_admin_user (      id bigint not null auto_increment,      email varchar (255),      login_name varchar (255) not null unique ,      name varchar (255),      password varchar (255),      primary key (id) ) ENGINE=InnoDB;

• passwordEncoder，这个就算是自己加的盐巴了，意思很明显就是处理密码的加密，看你的应用中数据库保存的是明码还是加密过的，比如本例是使用MD5加密的，所以配置了MD5PasswordEncoder这个Handler，cas内置了MD5的功能所以只需要配置一下就可以了；如果在实际应用中使用的是公司自己的加密算法那么就需要自己写一个Handler来处理密码，实现方式也比较简单，创建一个类继承org.jasig.cas.authentication.handler.PasswordEncoder然后在encode方法中加密用户输入的密码然后返回即可

八、配置CAS客户端

添加cas-client的jar包，有两种方式：

传统型

下载cas-client，地址：http://www.ja-sig.org/downloads/cas-clients/，然后解压cas-client-3.1.12.zip，在modules文件夹中有需要的jar包，请根据自己的项目情况选择使用

2011-11-05更新：

用maven打包server的方式一样，在cas-client-3.2.1目录中运行命令：

?

1	mvn package -pl cas-client-core -DskipTests= true

然后从target目录中复制cas-client-core-3.2.1.jar到应用的WEB-INF/lib目录中

Maven型

?

1 2 3 4 5

< dependency >      < groupid >org.jasig.cas.client</ groupid >      < artifactid >cas-client-core</ artifactid >      < version >3.1.12</ version > </ dependency >

设置filter

编辑web.xml，然后粘贴下面的代码：

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91

<!-- 用于单点退出，该过滤器用于实现单点登出功能，可选配置--> < listener > < listener-class >org.jasig.cas.client.session.SingleSignOutHttpSessionListener</ listener-class > </ listener >   <!-- 该过滤器用于实现单点登出功能，可选配置。 --> < filter >      < filter-name >CAS Single Sign Out Filter</ filter-name >      < filter-class >org.jasig.cas.client.session.SingleSignOutFilter</ filter-class > </ filter > < filter-mapping >      < filter-name >CAS Single Sign Out Filter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping >   <!-- 该过滤器负责用户的认证工作，必须启用它 --> < filter >      < filter-name >CASFilter</ filter-name >      < filter-class >org.jasig.cas.client.authentication.AuthenticationFilter</ filter-class >      < init-param >          < param-name >casServerLoginUrl</ param-name >          < param-value >https://sso.wsria.com:8443/cas/login</ param-value >      </ init-param >      < init-param >          <!--这里的server是服务端的IP-->          < param-name >serverName</ param-name >          < param-value >http://localhost:10000</ param-value >      </ init-param > </ filter > < filter-mapping >      < filter-name >CASFilter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping >   <!-- 该过滤器负责对Ticket的校验工作，必须启用它 --> < filter >      < filter-name >CAS Validation Filter</ filter-name >      < filter-class > org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter</ filter-class >      < init-param >          < param-name >casServerUrlPrefix</ param-name >          < param-value >https://sso.wsria.com:8443/cas</ param-value >      </ init-param >      < init-param >          < param-name >serverName</ param-name >          < param-value >http://localhost:10000</ param-value >      </ init-param > </ filter > < filter-mapping >      < filter-name >CAS Validation Filter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping >   <!-- 该过滤器负责实现HttpServletRequest请求的包裹， 比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。 --> < filter >      < filter-name >CAS HttpServletRequest Wrapper Filter</ filter-name >      < filter-class > org.jasig.cas.client.util.HttpServletRequestWrapperFilter</ filter-class > </ filter > < filter-mapping >      < filter-name >CAS HttpServletRequest Wrapper Filter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping >   <!-- 该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。 比如AssertionHolder.getAssertion().getPrincipal().getName()。 --> < filter >      < filter-name >CAS Assertion Thread Local Filter</ filter-name >      < filter-class >org.jasig.cas.client.util.AssertionThreadLocalFilter</ filter-class > </ filter > < filter-mapping >      < filter-name >CAS Assertion Thread Local Filter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping >   <!-- 自动根据单点登录的结果设置本系统的用户信息 --> < filter >      < display-name >AutoSetUserAdapterFilter</ display-name >      < filter-name >AutoSetUserAdapterFilter</ filter-name >      < filter-class >com.wsria.demo.filter.AutoSetUserAdapterFilter</ filter-class > </ filter > < filter-mapping >      < filter-name >AutoSetUserAdapterFilter</ filter-name >      < url-pattern >/*</ url-pattern > </ filter-mapping > <!-- ======================== 单点登录结束 ======================== -->

每个Filter的功能我就不多说了，都有注释的，关键要解释一下AutoSetUserAdapterFilter的作用和原理. 查看完整的web.xml请 猛击这里

利用AutoSetUserAdapterFilter自动根据CAS信息设置Session的用户信息

先看一下这个AutoSetUserAdapterFilter.java的源码

好的，如果你是老程序员应该很快就清楚Filter的目的，如果不太懂我再讲解一下； 主要是通过CAS的const_cas_assertion获取从CAS服务器登陆的用户名，然后再根据系统内部的用户工具（UserUtil.java）来判断是否已经登录过，如果没有登录根据登录名从数据库查询用户信息，最后使用设置把用户信息设置到当前session中。 这样就把用户信息保存到了Sessino中，我们就可以通过UserUtil工具来获取当前登录的用户了，我在实例项目中也加入了此功能演示，请看代码：main.jsp的第44行处

补充一下：

如果是为一个老项目添加单点登录功能，那么基本不需要其他的修改，设置好上面的filter即可；当然最好获取用户信息的地方都调用一个工具类，统一管理不容易出错。

九、单点退出

这个比较简单，把你的退出链接设置为：https://sso.wsria.com/cas/logout 即可。

十、美化CAS服务器界面

CAS服务端(cas-server)的界面只能在测试的时候用一下，真正系统上线肯定需要定制开发自己的页面，就像网易和CSDN的统一认证平台一样，所有子系统的认证都通过此平台来转接，大家可以根据他们的页面自己定制出适合所属应用或者公司的界面；简单介绍一下吧，复制 cas\WEB-INF\view\jsp\default\ui的一些JSP文件，每一个文件的用途文件名已经区分了，自己修改了替换一下就可以了。 例如：

• 登录界面：casLoginView.jsp
• 登录成功：casGenericSuccess.jsp
• 登出界面：casLogoutView.jsp

十一、结束语

花了一下午时间终于写完了，总共十项也算完美了。 现在看来起始利用CAS实现单点登录其实不难，不要畏惧，更不要排斥！ 本教程后面的代码部分均来自http://code.google.com/p/wsria的项目分支wsria-demo-sso

和本教程相关资料下载

• 本教程使用的演示程序，点击这里
• 使用keytool生成的key和证书，点击这里

到此本教程全部结束，希望看完后对你有帮助，如果有帮助还望继续推荐给其他人，有说明意见或者问题请回复或者IM联系我。

十二、疑难问题

如果遇到了意料之外的问题请参考文章的评论部分，或许能找到问题的原因以及解决办法！

javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver found

由于创建证书的域名和在应用中配置的cas服务域名不一致导致以下错误，详细请参考：

12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364656667686970

<div class="line" id="file-gistfile1-txt-LC1">由于创建证书的域名和在应用中配置的cas服务域名不一致导致以下错误：</div><div class="line" id="file-gistfile1-txt-LC2">SEVERE: javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver found</div><div class="line" id="file-gistfile1-txt-LC3">javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No name matching casserver found</div><div class="line" id="file-gistfile1-txt-LC4"> at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Alerts.java:174)</div><div class="line" id="file-gistfile1-txt-LC5"> at com.sun.net.ssl.internal.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1731)</div><div class="line" id="file-gistfile1-txt-LC6"> at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:241)</div><div class="line" id="file-gistfile1-txt-LC7"> at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:235)</div><div class="line" id="file-gistfile1-txt-LC8"> at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1206)</div><div class="line" id="file-gistfile1-txt-LC9"> at com.sun.net.ssl.internal.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:136)</div><div class="line" id="file-gistfile1-txt-LC10"> at com.sun.net.ssl.internal.ssl.Handshaker.processLoop(Handshaker.java:593)</div><div class="line" id="file-gistfile1-txt-LC11"> at com.sun.net.ssl.internal.ssl.Handshaker.process_record(Handshaker.java:529)</div><div class="line" id="file-gistfile1-txt-LC12"> at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:925)</div><div class="line" id="file-gistfile1-txt-LC13"> at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1170)</div><div class="line" id="file-gistfile1-txt-LC14"> at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1197)</div><div class="line" id="file-gistfile1-txt-LC15"> at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1181)</div><div class="line" id="file-gistfile1-txt-LC16"> at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:434)</div><div class="line" id="file-gistfile1-txt-LC17"> at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:166)</div><div class="line" id="file-gistfile1-txt-LC18"> at sun.net.www.protocol.http.HttpURLConnection.getInputStream(HttpURLConnection.java:1172)</div><div class="line" id="file-gistfile1-txt-LC19"> at sun.net.www.protocol.https.HttpsURLConnectionImpl.getInputStream(HttpsURLConnectionImpl.java:234)</div><div class="line" id="file-gistfile1-txt-LC20"> at org.jasig.cas.client.validation.AbstractCasProtocolUrlBasedTicketValidator.retrieveResponseFromServer(AbstractCasProtocolUrlBasedTicketValidator.java:35)</div><div class="line" id="file-gistfile1-txt-LC21"> at org.jasig.cas.client.validation.AbstractUrlBasedTicketValidator.validate(AbstractUrlBasedTicketValidator.java:178)</div><div class="line" id="file-gistfile1-txt-LC22"> at org.jasig.cas.client.validation.AbstractTicketValidationFilter.doFilter(AbstractTicketValidationFilter.java:132)</div><div class="line" id="file-gistfile1-txt-LC23"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC24"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC25"> at org.jasig.cas.client.authentication.AuthenticationFilter.doFilter(AuthenticationFilter.java:111)</div><div class="line" id="file-gistfile1-txt-LC26"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC27"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC28"> at org.jasig.cas.client.session.SingleSignOutFilter.doFilter(SingleSignOutFilter.java:99)</div><div class="line" id="file-gistfile1-txt-LC29"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC30"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC31"> at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:233)</div><div class="line" id="file-gistfile1-txt-LC32"> at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:191)</div><div class="line" id="file-gistfile1-txt-LC33"> at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:127)</div><div class="line" id="file-gistfile1-txt-LC34"> at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102)</div><div class="line" id="file-gistfile1-txt-LC35"> at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:109)</div><div class="line" id="file-gistfile1-txt-LC36"> at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:298)</div><div class="line" id="file-gistfile1-txt-LC37"> at org.apache.coyote.http11.Http11Processor.process(Http11Processor.java:859)</div><div class="line" id="file-gistfile1-txt-LC38"> at org.apache.coyote.http11.Http11Protocol$Http11ConnectionHandler.process(Http11Protocol.java:588)</div><div class="line" id="file-gistfile1-txt-LC39"> at org.apache.tomcat.util.net.JIoEndpoint$Worker.run(JIoEndpoint.java:489)</div><div class="line" id="file-gistfile1-txt-LC40"> at java.lang.Thread.run(Thread.java:662)</div><div class="line" id="file-gistfile1-txt-LC41">Caused by: java.security.cert.CertificateException: No name matching casserver found</div><div class="line" id="file-gistfile1-txt-LC42"> at sun.security.util.HostnameChecker.matchDNS(HostnameChecker.java:210)</div><div class="line" id="file-gistfile1-txt-LC43"> at sun.security.util.HostnameChecker.match(HostnameChecker.java:77)</div><div class="line" id="file-gistfile1-txt-LC44"> at com.sun.net.ssl.internal.ssl.X509TrustManagerImpl.checkIdentity(X509TrustManagerImpl.java:264)</div><div class="line" id="file-gistfile1-txt-LC45"> at com.sun.net.ssl.internal.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:250)</div><div class="line" id="file-gistfile1-txt-LC46"> at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1185)</div><div class="line" id="file-gistfile1-txt-LC47"> ... 32 more</div><div class="line" id="file-gistfile1-txt-LC48">Feb 1, 2012 10:01:28 PM org.jasig.cas.client.validation.AbstractTicketValidationFilter doFilter</div><div class="line" id="file-gistfile1-txt-LC49">WARNING: org.jasig.cas.client.validation.TicketValidationException: The CAS server returned no response.</div><div class="line" id="file-gistfile1-txt-LC50">org.jasig.cas.client.validation.TicketValidationException: The CAS server returned no response.</div><div class="line" id="file-gistfile1-txt-LC51"> at org.jasig.cas.client.validation.AbstractUrlBasedTicketValidator.validate(AbstractUrlBasedTicketValidator.java:181)</div><div class="line" id="file-gistfile1-txt-LC52"> at org.jasig.cas.client.validation.AbstractTicketValidationFilter.doFilter(AbstractTicketValidationFilter.java:132)</div><div class="line" id="file-gistfile1-txt-LC53"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC54"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC55"> at org.jasig.cas.client.authentication.AuthenticationFilter.doFilter(AuthenticationFilter.java:111)</div><div class="line" id="file-gistfile1-txt-LC56"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC57"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC58"> at org.jasig.cas.client.session.SingleSignOutFilter.doFilter(SingleSignOutFilter.java:99)</div><div class="line" id="file-gistfile1-txt-LC59"> at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)</div><div class="line" id="file-gistfile1-txt-LC60"> at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)</div><div class="line" id="file-gistfile1-txt-LC61"> at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:233)</div><div class="line" id="file-gistfile1-txt-LC62"> at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:191)</div><div class="line" id="file-gistfile1-txt-LC63"> at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:127)</div><div class="line" id="file-gistfile1-txt-LC64"> at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102)</div><div class="line" id="file-gistfile1-txt-LC65"> at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:109)</div><div class="line" id="file-gistfile1-txt-LC66"> at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:298)</div><div class="line" id="file-gistfile1-txt-LC67"> at org.apache.coyote.http11.Http11Processor.process(Http11Processor.java:859)</div><div class="line" id="file-gistfile1-txt-LC68"> at org.apache.coyote.http11.Http11Protocol$Http11ConnectionHandler.process(Http11Protocol.java:588)</div><div class="line" id="file-gistfile1-txt-LC69"> at org.apache.tomcat.util.net.JIoEndpoint$Worker.run(JIoEndpoint.java:489)</div><div class="line" id="file-gistfile1-txt-LC70"> at java.lang.Thread.run(Thread.java:662)</div>

view raw gistfile1.txt hosted with ❤ by  GitHub

十三、更新记录_2011-11-05

整整一年之后因为需要为客户搭建CAS换季再次更新本文章，不知道碰巧呢碰巧呢还是碰巧呢，反正就是11.5号了…… 在这里还要感谢大家对我的支持，要不然这篇教程也不会一直处于本博客的第一位……

不知道从哪个版本开始cas全面使用了maven构建项目，所以需要安装apache maven工具来构建源码，下面step by step讲解如何构建（面向没有接触过maven的童鞋）

• 下载Maven：打开http://maven.apache.org/download.html后下载对应的包，windows用户请下载Binary zip格式的压缩包，linux或者unix用户请下载Binary tar.gz**格式的压缩包

• 安装、配置Maven：解压压缩包到一个目录，例如/home/kafeitu/tools/apache/apache-maven-3.0.3，然后设置系统环境变量M3_HOME=/home/kafeitu/tools/apache/apache-maven-3.0.3，在PAT变量中添加路径

  • windows用户：;%M3_HOME%/bin
  • Linux用户：在.bashrc或者/et/profile文件中找到PATH，添加:$M3_HOME/bin

• 验证安装：重新打开一个命令窗口，

  • linux用户可以运行：
    ?

    1	source .bashrc

    或者
    ?

    1	source /etc/profile

  • windows用户重新打开cmd窗口

在cmd或者shell中进入解压的cas server目录后运行:mvn -version后如果看到打印系统信息和maven版本信息后证明配置ok

十四、更新记录_2011-11-18

你也可以申请免费的StartSSL CA证书: StartSSL(公司名：StartCom)也是一家CA机构，它的根证书很久之前就被一些具有开源背景的浏览器支持(Firefox浏览器、谷歌Chrome浏览器、苹果Safari浏览器等)。 申请地址：http://www.startssl.com 申请方法参考：http://www.linuxidc.com/Linux/2011-11/47478.htm