单点登录解决方案 CAS（Central Authentication Service）详解

目录

CAS 的工作原理

票据（Ticket）详解

CAS 的优势

CAS 的应用场景

小结

参考资料

---

Central Authentication Service（中央认证服务，简称 CAS）是一个开源的企业级单点登录（Single Sign-On, SSO）解决方案，主要用于 Web 应用系统，旨在为用户提供跨多个应用程序和服务的无缝身份验证体验。通过 CAS，用户在一个地方进行身份验证，然后可以无缝地访问多个相关但独立的软件系统，而无需再次进行身份验证。CAS 最初由耶鲁大学开发，并于 2004 年捐赠给 Jasig 组织，后来 Jasig 与 uPortal 合并成立了 Apereo 基金会，CAS 成为基金会的一个重要项目。

CAS 的工作原理

CAS 实现了一种基于票据（Ticket）的认证协议，其核心思想是用户只需登录一次，即可访问所有支持 CAS 认证的应用系统。具体流程如下：

1. 初始请求：当用户首次尝试访问一个受保护的应用时，该应用会重定向用户到 CAS 服务进行身份验证。
2. 用户认证：用户在 CAS 服务中输入用户名和密码等凭证信息。如果凭证正确，CAS 服务器将生成一个临时的票据（Service Ticket, ST），并将此票据发送回用户浏览器。
3. 票据验证：用户浏览器携带票据重新访问最初的目标应用系统。该应用系统接收到票据后，会向 CAS 服务发起验证请求，确认票据的有效性。
4. 完成登录：一旦 CAS 服务确认票据有效，就会通知应用系统认证成功。此时应用系统可以建立会话，并允许用户访问资源。

官方给出的流程图

除了提供单点登录功能外，CAS 还支持单点注销。当用户从一个应用系统中注销时，CAS 可以自动注销所有其他已登录的应用系统，确保用户的安全。

票据（Ticket）详解

票据是 CAS 实现 SSO 的关键。用户在登录时，CAS 会生成一个唯一的票据，并将其发送给用户。用户在访问其他系统时，携带票据进行验证。票据具有以下特点：

• 唯一性：每个票据都是唯一的，以确保用户身份的安全。
• 时效性：票据具有一定的有效期，超过有效期后，票据将失效。
• 可撤销性：管理员可以撤销某个票据，使其失效。

CAS 的优势

• 安全性高：通过集中管理用户凭证，减少了因多处存储而导致的安全风险；使用票据机制代替直接传递用户凭证，确保用户身份的安全。
• 提升用户体验：单点登录功能让用户无需在不同的应用重复输入相同的凭证信息，简化了跨多个应用系统的访问流程，提升了用户体验。
• 扩展性强：CAS 架构设计灵活，易于与其他身份验证服务集成，支持多种认证协议和方法，能够满足不同企业的需求。

CAS 的应用场景

• 教育机构，许多高校使用 CAS 来统一管理校园网内的各种在线服务，如教务系统、图书馆管理系统等，方便师生访问。
• 企业环境，大型企业内部往往存在众多业务系统，采用 CAS 可以实现对这些系统的集中认证管理，提高效率的同时保障信息安全。
• 政府部门，政府部门在提供公共服务时，也常利用 CAS 提供便捷安全的访问控制，特别是在涉及敏感信息的情况下。

小结

CAS 作为一种成熟可靠的单点登录解决方案，为企业和组织提供了一种安全、可靠的方式来管理用户身份验证和访问控制。通过使用 CAS，用户可以方便地访问多个应用程序而无需多次输入凭据，提高了用户体验和安全性。

参考资料

• https://apereo.github.io/cas/7.1.x/protocol/CAS-Protocol.html