CAS (6) —— Nginx代理模式下浏览器访问CAS服务器网络顺序图详解

最新推荐文章于 2023-11-09 18:20:01 发布
最新推荐文章于 2023-11-09 18:20:01 发布
阅读量236 收藏
点赞数
文章标签： 运维 java

CAS (6) —— Nginx代理模式下浏览器访问CAS服务器网络顺序图详解

tomcat版本: tomcat-8.0.29

jdk版本: jdk1.8.0_65

nginx版本: nginx-1.9.8

cas版本: cas4.1.2
cas-client-3.4.1

参考来源:

jasig.github.io:CAS protocol

https://github.com/Jasig/java-cas-client

通过Proxy访问其它Cas应用

CAS负载均衡配置——SSL篇

CAS负载均衡配置

CAS客户端集群

  • 以下的示例采用我博客的另外两篇文章中搭建好的测试环境举例

CAS (1) —— Mac下配置CAS到Tomcat（服务端）

CAS (2) —— Mac下配置CAS到Tomcat（客户端）

CAS (3) —— Mac下配置CAS客户端经代理访问Tomcat CAS

Mac为nginx安装nginx-sticky-module

【高可用HA】Nginx (1) —— Mac下配置Nginx Http负载均衡(Load Balancer)之101实例

Nginx (2) —— Mac下配置Apache Httpd的Https/SSL （待出）

目标架构

613455-20151217095721396-1141430139.png

此代理非彼代理

在CAS官方网站上给出了一个“Proxy Web Flow Diagram”：

613455-20151217094901068-1204662614.png

613455-20151217094915162-1105993705.png

顺序图：(来源于http://jasig.github.io/cas/4.0.x/protocol/CAS-Protocol.html)

这个方案主要适用一种场景：

有两个应用App1和App2，它们都是受Cas Server保护的，即请求它们时都需要通过Cas Server的认证。现需要在App1中通过Http请求访问App2，显然该请求将会被App2配置的Cas的AuthenticationFilter拦截并转向Cas Server，Cas Server将引导用户进行登录认证，这样我们也就不能真正的访问到App2了。针对这种应用场景，Cas也提供了对应的支持。通过Proxy访问其它Cas应用

无论是用中文关键字在“度娘”，还是用英文关键字再“谷哥”上搜索，多数文章都是描述上面这样一个场景。

而我这里介绍的“代理”，并非是上述场景——依靠代理去验证ticket，“代理”在此的角色是：

  • 只做分发反向代理（未来的负载均衡器）
* 注意：所以说“此代理非彼代理”

准备

要搭建上面这个环境会相对复杂，我们需要参照之前的文章准备以下必备的组件或环境：

CAS (5) —— Nginx代理模式下浏览器访问CAS服务器配置详解

测试

  1. 访问“https://app1.hoau.com:8413/cas1”

    613455-20151217112353990-397652019.png

    会重定向到“https://proxy.sso.hoau.com/cas/login?service=https%3A%2F%2Fapp1.hoau.com%3A8413%2Fcas1”

  2. 然后输入用户明密码（test01/psw01）

    如果验证成功，则会将浏览器重定向到app1的登陆成功页面。

    613455-20151217112407771-1654378095.png

  3. 再次访问“https://app1.hoau.com:8413/cas1”

    可以直接进入登陆成功页，而无需输入用户名密码。

  4. 访问另一应用

    同样可以通过test01用户直接进入登陆成功页，而无需输入用户名密码。

    613455-20151217112423193-1368642199.png

上面基本测试通过，我们接着分析网络顺序。

代理下的网络顺序分析

由于这个场景较为简单，所以jasig官网上并没有给出这个场景下的网络顺序图。于是我自己画了一个。

613455-20151217151617881-1176076397.png

仔细观察可以发现：上图与不通过nginx代理时，官网的序列图类似，只有代理出多了转发和反向的工作。

首次访问

https://app1.hoau.com:8413/cas1
（0）用户通过浏览器访问上面地址

613455-20151217155515443-1838044077.png

（1）浏览器访问Protected App #1
（2）Protected App #1尝试验证身份

首次登陆，身份验证未通过，返回重定向消息

302 Location 
https://proxy.sso.hoau.com:443/cas/login
    ?service=https://app1.hoau.com:8413/cas1
（3）浏览器重定向以上地址至代理服务器Proxy
（4）Proxy将次请求分发至CAS服务器

613455-20151217155714490-288424364.png

https://sso.hoau.com:8433/cas/login
    ?service=https://app1.hoau.com:8413/cas1

CAS服务器发现用户没有SSO的Session，然后返回CAS的登陆页面内容

（5）返回CAS的登陆页面内容至代理服务器
（6）代理将响应的内容返回给浏览器
（7）浏览器为用户呈现登陆页面

613455-20151217155757724-1380009767.png

（8）用户提交用户名和密码

613455-20151217155859615-411815250.png

（9）浏览器提交Form内容至代理
（10）代理转发提交的内容至CAS服务器
（11）CAS服务器验证用户身份
（12）CAS服务器返回相应至代理

613455-20151217160040693-254130040.png

（13）代理将响应返回给浏览器

并且设置Cookie

CASTGC

由于身份验证成功，此刻浏览器被要求重定向至Protected App #1的登陆页

（14）浏览器被重定向至Protected App #1

并且携带ticket信息。

613455-20151217160120912-743606401.png

*注意：以下（15）、（16）、（17）和（18）步为Protected App #1与CAS Server背后的交互。

Protected App #1 收到请求后，会再次访问CAS Server以验证ticket。

（15）（16）Protected App #1通过Proxy请求serviceValidate
（17）（18）CAS服务器经由代理返回响应信息
（19）如果CAS服务器校验通过

则会设置Cookie JSESSIONID，然后将重定向信息返回到浏览器

（20）浏览器再次访问Protected App #1

613455-20151217160259662-409971803.png

并携带有效的JSESSIONID，这时

如果验证通过，则

（22）返回目标页面的内容

613455-20151217160226302-1137370308.png

再次访问

https://app1.hoau.com:8413/cas1

另一个应用访问

https://app2.hoau.com:8423/cas2

以上“再次访问”和“另一应用访问”不在赘述，大家可以自行测试，或参考无代理情况下的序列图：

CAS (4) —— CAS浏览器SSO访问顺序图详解（CAS Web Flow Diagram by Example）

附一个Charles的http顺序图

613455-20151217150616271-1726676114.png

结束

weixin_33911824
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
nginx 与 CAS、Client项目 整合出现问题解决方案
Black Monkey
10-11 6170
问题场景回顾 我们公司有个CPro项目于CAS继承，继承好后，CPro 项目 运行时候有些页面访问有问题，项目莫名其妙 变了  如  我访问 http://myserver.com/Pro  CAS认证成功后，访问有些项目内部重定向的页面，地址就变成了  http://myserver.com/CPro nginx 的配置如下： server {
tomcat8 + nginx + memcached + cas 实现负载均衡的配置包
03-24
1，tomcat8的配置： 1.1修改tomcat8.x/conf/context.xml的配置如下: <?xml version="1.0" encoding="UTF-8"?> <!-- Licensed to the Apache Software Foundation (ASF) under one or more contributor license agreements. See the NOTICE file distributed with this work for additional information regarding copyright ownership. The ASF licenses this file to You under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at http://www.apache.org/licenses/LICENSE-2.0 Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions and limitations under the License. --> <!-- The contents of this file will be loaded for each web application --> <Context> <!-- Default set of monitored resources. If one of these changes, the --> <!-- web application will be reloaded. --> <WatchedResource>WEB-INF/web.xml</WatchedResource> <WatchedResource>${catalina.base}/conf/web.xml</WatchedResource> <!-- Uncomment this to disable session persistence across Tomcat restarts --> <!-- <Manager pathname="" /> <Resources cachingAllowed="true" cacheMaxSize="100000" /> <Manager className="de.javakaffee.web.msm.MemcachedBackupSessionManager" memcachedNodes="n1:127.0.0.1:11211" username="root" password="" sticky="false" sessionBackupAsync="false" lockingMode="uriPattern:/path1|/path2" requestUriIgnorePattern=".*\.(ico|png|gif|jpg|css|js)$" transcoderFactoryClass="de.javakaffee.web.msm.serializer.kryo.KryoTranscoderFactory" /> --> <Resources cachingAllowed="true" cacheMaxSize="100000" /> <Manager className="de.javakaffee.web.msm.MemcachedBackupSessionManager" memcachedNodes="n1:127.0.0.1:11211" username="root" password="" sticky="false" sessionBackupAsync="false" lockingMode="uriPattern:/path1|/path2" requestUriIgnorePattern=".*\.(ico|png|gif|jpg|css|js)$" sessionBackupTimeout="18000" transcoderFactoryClass="de.javakaffee.web.msm.serializer.javolution.JavolutionTranscoderFactory" copyCollectionsForSerialization="false" /> </Context> 1.2添加memcached如下依赖的jar包到tomcat8.x/lib/: asm-5.1.jar couchbase-client-1.4.12.jar javolution-5.5.1.jar kryo-4.0.0.jar kryo-serializers-0.38.jar memcached-session-manager-2.0.0.jar memcached-session-manager-tc8-2.0.0.jar minlog-1.3.jar msm-javolution-serializer-2.0.0.jar msm-kryo-serializer-2.0.0.jar msm-xstream-serializer-2.0.0.jar objenesis-2.1.jar reflectasm-1.09.jar spymemcached-2.12.1.jar 2，nginx的配置： #user nobody; worker_processes 1; #error_log logs/error.log; #error_log logs/error.log notice; #error_log logs/error.log info; #pid logs/nginx.pid; events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; access_log logs/access.log main; client_header_timeout 3m; client_body_timeout 3m; send_timeout 3m; sendfile on; tcp_nopush on; tcp_nodelay on; #keepalive_timeout 0; keepalive_timeout 65; gzip on; #设定负载均衡的服务器列表 upstream 127.0.0.1 { #设定负载均衡的服务器列表 #ip_hash; #同一机器在多网情况下，路由切换，ip可能不同 #weigth参数表示权值，权值越高被分配到的几率越大 server 127.0.0.1:8085 weight=1 max_fails=20 fail_timeout=600s; server 127.0.0.1:8086 weight=1 max_fails=20 fail_timeout=600s; } map $http_upgrade $connection_upgrade { default upgrade; '' close; } server { listen 80; server_name localhost; charset UTF-8; #设定本虚拟主机的访问日志 access_log logs/host.access.log main; #对 "/" 所有应用启用负载均衡 location / { proxy_pass http://127.0.0.1; #保留用户真实信息 proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; index index.html index.htm index.aspx; } #对 "/Dossm3RabbitMQConsumer/" 启用负载均衡 location /Dossm3RabbitMQConsumer/ { proxy_pass http://localhost:8086; #保留用户真实信息 proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; index index.html index.htm index.aspx; } } # another virtual host using mix of IP-, name-, and port-based configuration # #server { # listen 8000; # listen somename:8080; # server_name somename alias another.alias; # location / { # root html; # index index.html index.htm; # } #} # HTTPS server # #server { # listen 443 ssl; # server_name localhost; # ssl_certificate cert.pem; # ssl_certificate_key cert.key; # ssl_session_cache shared:SSL:1m; # ssl_session_timeout 5m; # ssl_ciphers HIGH:!aNULL:!MD5; # ssl_prefer_server_ciphers on; # location / { # root html; # index index.html index.htm; # } #} } 3，cas的配置（）： 3.1 修改/CAS/WEB-INF/spring-configuration/ticketRegistry.xml <?xml version="1.0" encoding="UTF-8"?> <!-- Licensed to Jasig under one or more contributor license agreements. See the NOTICE file distributed with this work for additional information regarding copyright ownership. Jasig licenses this file to you under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at the following location: http://www.apache.org/licenses/LICENSE-2.0 Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions and limitations under the License. --> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:p="http://www.springframework.org/schema/p" xmlns:util="http://www.springframework.org/schema/util" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util.xsd"> <description> Configuration for the default TicketRegistry which stores the tickets in-memory and cleans them out as specified intervals. </description> <!-- memcached 配置开始 --> <!-- Ticket Registry --> <bean id="ticketRegistry" class="org.jasig.cas.ticket.registry.MemCacheTicketRegistry"> <constructor-arg index="0"> <bean class="net.spy.memcached.spring.MemcachedClientFactoryBean" p:servers="127.0.0.1:11211" p:protocol="BINARY" p:locatorType="ARRAY_MOD" p:failureMode="Redistribute" p:transcoder-ref="serialTranscoder"> <property name="hashAlg"> <util:constant static-field="net.spy.memcached.DefaultHashAlgorithm.FNV1A_64_HASH" /> </property> </bean> </constructor-arg> <!-- TGT timeout in seconds --> <constructor-arg index="1" value="36000" /> <!-- ST timeout in seconds --> <constructor-arg index="2" value="2" /> </bean> <bean id="serialTranscoder" class="net.spy.memcached.transcoders.SerializingTranscoder" p:compressionThreshold="2048" /> <!-- memcached 配置结束 --> <!--Quartz --> <!-- 默认配置开始 --> <!-- Ticket Registry --> <!-- <bean id="ticketRegistry" class="org.jasig.cas.ticket.registry.DefaultTicketRegistry" />--> <!-- TICKET REGISTRY CLEANER --> <!-- <bean id="ticketRegistryCleaner" class="org.jasig.cas.ticket.registry.support.DefaultTicketRegistryCleaner" p:ticketRegistry-ref="ticketRegistry" p:logoutManager-ref="logoutManager" /> <bean id="jobDetailTicketRegistryCleaner" class="org.springframework.scheduling.quartz.MethodInvokingJobDetailFactoryBean" p:targetObject-ref="ticketRegistryCleaner" p:targetMethod="clean" /> <bean id="triggerJobDetailTicketRegistryCleaner" class="org.springframework.scheduling.quartz.SimpleTriggerBean" p:jobDetail-ref="jobDetailTicketRegistryCleaner" p:startDelay="200000" p:repeatInterval="50000000" /> --> <!-- 默认配置结束 --> </beans> 3.2 添加cas和memcached整合的如下依赖jar包到/CAS/WEB-INF/lib: cas-server-integration-memcached-4.0.0.jar mockito-core-2.1.0-RC.1.jar spymemcached-2.11.2.jar 参考CAS官方配置:https://apereo.github.io/cas/4.2.x/installation/Memcached-Ticket-Registry.html
三十八：代理模式
zhenyaoMilenfan的专栏
11-11 140
一：什么是代理 代理模式给某一个对象提供一个代理对象，并由代理对象控制原对象的引用. 中国人是一个含蓄的民族，讲求微妙和间接的交流方式，对象间的间接通信也同样是面向对象的设计中一条重要的"审美观"。间接性的通信可以给出较低的耦合关系，较强的合作关系，以及微妙的结构和易于复用的设计架构。 代理模式的英文叫做Proxy，所谓代理，就是一个人或者一个机构代表另一个人或者另一个机构采取行动，在一...
CAS集群部署之nginx安装以及配置说明
qq_21359467的博客
09-02 912
CAS集群部署之nginx安装以及配置说明 此安装说明中包含配置SSL证书和nginx会话保持之sticky模块配置 环境检查 安装nginx前首先要确认系统中安装了gcc、pcre-devel、zlib-devel、openssl-devel rpm包安装的，可以用 rpm -qa 看到，如果要查找某软件包是否安装，用 rpm -qa | grep “软件或者包的名字” 以deb包安装的，可以用 dpkg -l 看到。如果是查找指定软件包，用 dpkg -l | grep “软件或者包的名字” yum方
Nginx反向代理解决cas-server单点登录内外网问题
lwzh200907的博客
09-27 776
nginx反向代理解决cas-server单点登录内外网问题
详解nginx代理天地图做缓存解决跨域问题
01-10
作为一个GISer开发者，天地图是经常在项目中以底图的形式出现，其加载地址如： 1.天地图矢量：http://t{0-6}.tianditu.com/DataServer?T=vec_w&x={x}&y={y}&l={z} 2.天地图影像：...
详解nginx 代理多个服务器(多个server方式)
01-20
现在我们要使用nginx达到这样的一个目的，能够代理多个服务器。 首先修改配置文件： #user nobody; worker_processes 1; #error_log logs/error.log; #error_log logs/error.log notice; #error_log logs/error....
详解Nginx服务器之负载均衡策略(6种)
01-20
在服务器集群中，Nginx起到一个代理服务器的角色（即反向代理），为了避免单独一个服务器压力过大，将来自用户的请求转发给不同的服务器。详情请查看我的另一篇博客。 二、Nginx负载均衡策略 负载均衡用于从...
nginx开启HSTS让浏览器强制跳转HTTPS访问详解
09-29
主要介绍了nginx开启HSTS让浏览器强制跳转HTTPS访问详解，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
详解Nginx搭建图片服务器过程
01-20
linux下安装nginx（图文教程） 本章知识点 效果图： 需求：实现图片的上传和批量上传 技术：Nginx，Vsftpd，Spring，SpringMVC，KindEditor，CentOS 说明：本章节内容主要是实现图片的上传功能。使用 KindEditer...
cas-auth-lua-nginx:在 NGINX 级别对 CAS 用户进行身份验证的 Lua 模块
07-02
Lua中的NGINX CAS认证模块 这是一个 Lua 模块的 POC 项目，用于在到达应用程序之前对 NGINX 上的 CAS 用户进行身份验证。 模块的工作原理 身份验证后，将创建以下 cookie： usrtoken：是一个带有秘密的 sha1 + base64 签名 cookie usrid：是代表CAS用户名的base64签名cookie 配置 编辑 nginx 配置：config/default 将 $cas_server 替换为您的 CAS 票证身份验证 URL 用秘密令牌替换 $secret 例子 示例 rails 应用程序演示了如何验证签名的 cookie
Nginx+Uwsgi+Django+Vue部署
02-25
Nginx+Uwsgi+Django（python3）+Vue部署，一步步实现。网上找了N多篇文章都没成功，特意记录，以免其他同学踩坑
nginx代理springboot前后端分离服务--接入cas客户端时内外网配置
最新发布
weixin_42949219的博客
11-09 622
因为前端访问后端程序时需要进行登录验证，因为是在浏览器中访问的地址，所以跳转登录地址为外网地址才能进行访问，验证通过之后，服务端会获取票据ticket，会拿票据ticket去cas服务端验证，内网之间程序访问使用外网会不通，所以去cas服务端验证的地址应是内网的。因为前端是nginx代理的，所以前端配置的后端地址，cas服务端地址都应是。
CAS Client集群环境的Session问题及解决方案 不能退出登录
weixin_30367169的博客
06-27 671
casclient源代码下载链接：https://github.com/apereo/java-cas-client cas官网链接：https://www.apereo.org/projects/cas 1.上面一篇引用别人的分析方案介绍，来描述了下项目中遇到的问题，现在介绍本人怎么解决的 2.本人项目中用的是改造了tomcat 做的session 共享 3.所以客户端请求退出，服务端根...
CAS服务器集群和客户端集群环境下的单点登录和单点注销解决方案
weixin_30260399的博客
08-14 566
CAS的集群环境，包括CAS的客户应用是集群环境，以及CAS服务本身是集群环境这两种情况。在集群环境下使用CAS，要解决两个问题，一是单点退出（注销）时，CAS如何将退出请求正确转发到用户session所在的具体客户应用服务器，而不是转发到其他集群服务器上，二是解决CAS服务端集群环境下各种Ticket信息的共享。 CAS集群部署 由于CAS Server是一个Web应用，因此...
基于CAS的WEB单点登录(sso)服务端及其tomcat/nginx https配置
MJ的博客
10-27 2179
一、关于SSO单点登录 单点登录sso的实现常见的有Oauth2(当前主流，较复杂)和CAS（Center Authentication Server），它们的区别。这里先研究一把apereo实现的CAS SSO。 二、CAS基本原理，参考https://www.jianshu.com/p/b7de8e4cf217 访问服务：SSO 客户端发送请求访问应用系统提供的服务资源。 定向认证：SSO 客户端会重定向用户请求到 SSO 服务器。 用户认证：用户身份认证。 发放票据...
一个nginx俩个tomcat配置cas单点登录和服务器（参考用）
天梓ABU的博客
11-22 2406
nginx配置cas单点登录（参考用） 我们这个项目是分布式的，登录都是用到单点登录，需要部署到学校服务器上，但是学校只给一个服务器，一个域名，端口就80跟443，其他端口都不开放，弄了好久都弄不好（可能是我太菜了），然后没办法又去找学校要了个域名，蛮久之前了，具体怎么弄得我也忘了。nginx像下面这么配置就成功了，可以参考看看，说不定有帮助。 #user nobody; worker_proc...
CAS5.2x单点登录(一)——搭建cas服务器
热门推荐
java线程池
01-22 1万+
单点登录的介绍 单点登录（Single Sign On ,简称SSO）是目前比较流行的服务于企业业务整合的解决方案之一，SSO 使得在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。 CAS（Central Authentication Service）是 Yale大学发起的一个企业级的、开源的项目，旨在为 Web 应用系统提供一种可靠的单点登录解决方法。 在5.0版本之...
前端工程师不可不知的Nginx知识
华章IT官方博客
09-11 340
本文已收录在前端食堂同名仓库Github github.com/Geekhyt，欢迎光临食堂，如果觉得酒菜还算可口，赏个 Star 对食堂老板来说是莫大的鼓励。历史背景互联网的全球化导致...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值