前后端分离项目使用CAS单点登录认证

简介

CAS是为web服务提供单点登录认证的方式，其认证过程如下图所示。目前CAS仅支持不分离的项目接入，详见CAS Client。由于前后端分离的项目自己需要维护会话，故不能通过官方提供的配置实现，本文将聊聊具体如何实现前后端分离项目使用CAS单点登录认证。

CAS的简单了解

票据

TGC

Ticket Granting Cookie，TGC与TGT相当于sessionId与session。TGC作为TGT的key，储存于浏览器的cookie中（CAS服务端域名下）。

TGT

Ticket Granting Ticket，TGT相当于session， 封装了 cookie和用户信息。CAS根据TGC查询是否存在TGT用于判断是否已登录。

ST

Service Ticket，用于获取用户信息的票据，只能使用一次。客户端重定向到CAS服务端，如果已经登录则会携带ST重定向回客户端。

登录

客户端配置过滤器

<filter>
    <filter-class>xxx.AuthenticationFilter</filter-class>
    <init-param>
        <param-name>casServerLoginUrl</param-name>
        <param-value>https://cas.com/login</param-value>
    </init-param>
    <init-param>
        <param-name>serverName</param-name>
        <param-value>http://127.0.0.1:8080/</param-value>
    </init-param>
</filter>

请求客户端地址：http://127.0.0.1:8080，如果未登录(浏览器没有TGC)则重定向到服务端：https://cas.com/login?service=https://cas.com/login 认证登录后，携带ST重定向到客户端：http://127.0.0.1:8080?ticket=XXXXXXXXX

登出

客户端配置过滤器，工作是拦截并处理CAS服务端发起的注销请求

<filter>
    <filter-class>xxx.SingleSignOutFilter</filter-class>
    <init-param>
        <param-name>casServerUrlPrefix</param-name>
        <param-value>https://cas.com</param-value>
    </init-param>
</filter>

CAS既然能单点登录，必然也需要单点登出，登录的地址是: casServerUrlPrefix/logout
CAS服务端登录时会根据TGC记录service，即客户端的地址。CAS注销时遍历所有客户端，发起post请求通知客户端注销登录。

登出通知地址映射

这点是比较关键的，CAS登出默认通知的是登录时service参数的地址，但是前后端分离项目一般是在前端进行拦截，后端验证票据以及登出销毁会话。因此，CAS登出通知的地址不能简单的是service的值，CAS其实是提供了映射关系的配置的。
配置目录：resource/service

{
  "@class": "org.apereo.cas.services.RegexRegisteredService",
  "serviceId": "^(https|http)://www.cas.com/*",
  "name": "XXXX",
  "id": 10000001,
  "description": "XXXX",
  "evaluationOrder": 1,
  "logoutUrl": "https://www.cas.org/logout"
}

即登录时service参数匹配到serviceId，则登出通知的接口将是logoutUrl

具体实现

无需配置以上提到的过滤器

如图所示
1、会话不存在时重定向到CAS服务端认证
2、认证完成后前端获取到ST，发起请求到后端，后端拿到ST往CAS服务端验证票据
3、验证票据成功后拿到用户信息，后端生成token返回给前端，并关联ST
4、登出时CAS服务端向后端发起post请求，携带了登录时的ST，通过ST找到会话并销毁。

总结

简单了解CAS的认证流程，相对容易理解。