Cas 5.2.x版本使用 —— 实现SSO单点登录（九）

在开展项目之前，需要一些基本的CAS知识扫盲工作，请仔细理解这几篇文章对后期项目很有帮助，具体重复内容这里不在多说，看文章即可，

项目架构

统一使用 SpringBoot+Meven 构建

项目	地址	说明
cas-overlay-template-master	https://cas.server.com:8443/cas	cas-server 服务端
cas-app1	http://app1.com:8181	cas-client 客户端1
cas-app2	http://app2.com:8282	cas-client 客户端2

接下来，老夫就要开始飙车了。

一、配置hosts文件

# SSO单点登录Demo
127.0.0.1    cas.server.com
127.0.0.1    app1.com
127.0.0.1    app2.com

二、配置cas服务端

1、配置json服务注册

1、在src/main/resources/目录下创建services文件夹

2、在war包中，找到HTTPSandIMAPS-10000001.json文件，并copy到services文件夹中

3、将HTTPSandIMAPS-10000001.json文件内容修改如下。

{
  "@class" : "org.apereo.cas.services.RegexRegisteredService",
  "serviceId" : "^(https|http|imaps)://.*",
  "name" : "HTTPS and HTTP and IMAPS",
  "id" : 10000001,
  "description" : "This service definition authorizes all application urls that support HTTPS and HTTP and IMAPS protocols.",
  "evaluationOrder" : 10000
}

默认cas支持https，不支持http客户端站点来登录，所以需要手动进行配置兼容。

如果不做此操作就会出现如下图：未认证授权的服务，所以还是乖乖的听话，跟着我的飙车轨道，别跑丢了。

具体json文件中代表什么含义，查看文章：Cas 5.2.x版本使用 —— Service配置介绍（十一）

2、pom.xml 配置

导入json服务的依赖。经过尝试发现下面不导入也是可以的，但是官网说要加，有点蒙

<!--json服务注册-->
<dependency>
    <groupId>org.apereo.cas</groupId>
    <artifactId>cas-server-support-json-service-registry</artifactId>
    <version>${cas.version}</version>
</dependency>

3、application.properties 配置

在application.properties文件中，增加配置项cas.serviceRegistry.initFromJson=true表示开启了json注册服务。

另外为了Demo尽可能的简单方便理解，我这里启用静态账号密码方式认证（非JDBC和Rest）

##
# CAS Authentication Credentials
#
cas.authn.accept.users=tingfeng::tingfeng

##
# 开启json服务注册
#
cas.serviceRegistry.initFromJson=true

##
# 登出后允许跳转到指定页面
#
cas.logout.followServiceRedirects=true

三、配置客户端

客户端 app1 和 app2 的项目逻辑相同，不多说。

1、pom.xml 配置

添加 cas-client 包依赖，我用的 3.5.0 版本

<!--cas的客户端 -->
<dependency>
   <groupId>org.jasig.cas.client</groupId>
   <artifactId>cas-client-core</artifactId>
   <version>${java.cas.client.version}</version>
</dependency>

2、项目结构

➜  src tree
.
└── main
    ├── java
    │   └── com
    │       └── tingfeng
    │           ├── AppRun.java (程序入口)
    │           ├── cas
    │           │   ├── auth
    │           │   │   └── SimpleUrlPatternMatcherStrategy.java (设置忽略，不拦截地址)
    │           │   └── config
    │           │       └── CasConfig.java (常用cas配置)
    │           └── controller
    │               ├── BookController.java  (受限接口)
    │               ├── IndexController.java
    │               └── UserController.java  (用户登出)
    └── resources
        └── application.yml

3、 AppRun.java

SpringBoot程序入口，包含cas-client.jar的过滤器配置信息

package com.tingfeng;

import com.tingfeng.cas.config.CasConfig;
import org.jasig.cas.client.authentication.AuthenticationFilter;
import org.jasig.cas.client.session.SingleSignOutFilter;
import org.jasig.cas.client.session.SingleSignOutHttpSessionListener;
import org.jasig.cas.client.util.AssertionThreadLocalFilter;
import org.jasig.cas.client.util.HttpServletRequestWrapperFilter;
import org.jasig.cas.client.validation.Cas30ProxyReceivingTicketValidationFilter;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.boot.web.servlet.ServletListenerRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.Ordered;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter;

import java.util.EventListener;
import java.util.HashMap;
import java.util.Map;

/**
 * 过滤器配置介绍Doc：
 * http://doc.okbase.net/234390216/archive/105696.html
 * http://blog.csdn.net/u010475041/article/details/78094251
 */
@SpringBootApplication
public class AppRun {

    /*************************************   SSO配置-开始   ************************************************/

    /**
     * SingleSignOutFilter 登出过滤器
     * 该过滤器用于实现单点登出功能，可选配置
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean filterSingleRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setFilter(new SingleSignOutFilter());
        // 设定匹配的路径
        registration.addUrlPatterns("/*");
        Map<String, String> initParameters = new HashMap();
        initParameters.put("casServerUrlPrefix", CasConfig.CAS_SERVER_LOGIN_PATH);
        registration.setInitParameters(initParameters);
        // 设定加载的顺序
        registration.setOrder(1);
        return registration;
    }

    /**
     * SingleSignOutHttpSessionListener 添加监听器
     * 用于单点退出，该过滤器用于实现单点登出功能，可选配置
     *
     * @return
     */
    @Bean
    public ServletListenerRegistrationBean<EventListener> singleSignOutListenerRegistration() {
        ServletListenerRegistrationBean<EventListener> registrationBean = new ServletListenerRegistrationBean<EventListener>();
        registrationBean.setListener(new SingleSignOutHttpSessionListener());
        registrationBean.setOrder(1);
        return registrationBean;
    }

    /**
     * Cas30ProxyReceivingTicketValidationFilter 验证过滤器
     * 该过滤器负责对Ticket的校验工作，必须启用它
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean filterValidationRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setFilter(new Cas30ProxyReceivingTicketValidationFilter());

        // 设定匹配的路径
        registration.addUrlPatterns("/*");
        Map<String, String> initParameters = new HashMap();
        initParameters.put("casServerUrlPrefix", CasConfig.CAS_SERVER_PATH);
        initParameters.put("serverName", CasConfig.SERVER_NAME);

        // 是否对serviceUrl进行编码，默认true：设置false可以在302对URL跳转时取消显示;jsessionid=xxx的字符串
        // 观察CommonUtils.constructServiceUrl方法可以看到
        initParameters.put("encodeServiceUrl", "false");

        registration.setInitParameters(initParameters);
        // 设定加载的顺序
        registration.setOrder(1);
        return registration;
    }

    /**
     * AuthenticationFilter 授权过滤器
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean filterAuthenticationRegistration() {

        FilterRegistrationBean registration = new FilterRegistrationBean();
        Map<String, String> initParameters = new HashMap();

        registration.setFilter(new AuthenticationFilter());
        registration.addUrlPatterns("/*");
        initParameters.put("casServerLoginUrl", CasConfig.CAS_SERVER_LOGIN_PATH);
        initParameters.put("serverName", CasConfig.SERVER_NAME);

        // 不拦截的请求 .* 有后缀的文件
        initParameters.put("ignorePattern", ".*");

        // 表示过滤所有
        initParameters.put("ignoreUrlPatternType", "com.tingfeng.cas.auth.SimpleUrlPatternMatcherStrategy");

        registration.setInitParameters(initParameters);
        // 设定加载的顺序
        registration.setOrder(1);
        return registration;
    }

    /**
     * AssertionThreadLocalFilter
     *
     * 该过滤器使得开发者可以通过org.jasig.cas.client.util.AssertionHolder来获取用户的登录名。
     * 比如AssertionHolder.getAssertion().getPrincipal().getName()。
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean filterAssertionThreadLocalRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setFilter(new AssertionThreadLocalFilter());
        // 设定匹配的路径
        registration.addUrlPatterns("/*");
        // 设定加载的顺序
        registration.setOrder(1);
        return registration;
    }

    /*
     * HttpServletRequestWrapperFilter wraper过滤器
     * 该过滤器负责实现HttpServletRequest请求的包裹，
     * 比如允许开发者通过HttpServletRequest的getRemoteUser()方法获得SSO登录用户的登录名，可选配置。
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean filterWrapperRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setFilter(new HttpServletRequestWrapperFilter());
        // 设定匹配的路径
        registration.addUrlPatterns("/*");
        // 设定加载的顺序
        registration.setOrder(1);
        return registration;
    }

    /*************************************   SSO配置-结束   ************************************************/

    /**
     * 设定首页
     */
    @Configuration
    public class DefaultView extends WebMvcConfigurerAdapter {

        @Override
        public void addViewControllers(ViewControllerRegistry registry) {
            //设定首页为index
            registry.addViewController("/").setViewName("forward:/index");

            //设定匹配的优先级
            registry.setOrder(Ordered.HIGHEST_PRECEDENCE);

            //添加视图控制类
            super.addViewControllers(registry);
        }
    }

    public static void main(String[] args) {
        SpringApplication.run(AppRun.class, args);
    }
}

过滤器的设置，类似于在 web.xml 中配置的过滤器，关于web.xml配置，参考底部文档链接。

有关上面几个过滤器和各个参数的含义，我打算在后面单独做几篇文章进行详细介绍

SimpleUrlPatternMatcherStrategy.java

机能概要:过滤掉一些不需要授权登录的URL

package com.tingfeng.cas.auth;

import org.jasig.cas.client.authentication.UrlPatternMatcherStrategy;

import java.util.Arrays;
import java.util.List;

/**
 * 机能概要:过滤掉一些不需要授权登录的URL
 */
public class SimpleUrlPatternMatcherStrategy implements UrlPatternMatcherStrategy {

    /**
     * 机能概要: 判断是否匹配这个字符串
     *
     * @param url 用户请求的连接
     * @return true : 不拦截
     * false :必须得登录了
     */
    @Override
    public boolean matches(String url) {

        if(url.contains("/logout")){
            return true;
        }

        List<String> list = Arrays.asList(
                "/",
                "/index",
                "/favicon.ico"
        );

        String name = url.substring(url.lastIndexOf("/"));
        if (name.indexOf("?") != -1) {
            name = name.substring(0, name.indexOf("?"));
        }

        System.out.println("name：" + name);
        boolean result = list.contains(name);
        if (!result) {
            System.out.println("拦截URL：" + url);
        }
        return result;
    }

    /**
     * 正则表达式的规则，这个地方可以是web传递过来的
     */
    @Override
    public void setPattern(String pattern) {

    }
}

UserController.java

用于登出

package com.tingfeng.controller;

import com.tingfeng.cas.config.CasConfig;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import org.springframework.web.bind.annotation.RestController;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@Controller
@RequestMapping("/user")
public class UserController {
    /**
     * 用户登出
     *
     * @param request
     * @return
     */
    @RequestMapping("/logout")
    public String logout(HttpServletRequest request) {
        // session失效
        request.getSession().invalidate();
        return "redirect:" + CasConfig.CAS_SERVER_LOGOUT_PATH;
    }
    /**
     * 用户登出，并重定向回来
     *
     * @param request
     * @return
     */
    @RequestMapping("/logout2")
    public String logout2(HttpServletRequest request) {
        // session失效
        request.getSession().invalidate();
        return "redirect:" + CasConfig.CAS_SERVER_LOGOUT_PATH + "?service="+CasConfig.APP_LOGOUT_PATH;
    }
    /**
     * 登出成功回调
     * @return
     */
    @ResponseBody
    @RequestMapping("/logout/success")
    public String logoutPage(){
        return "登出成功，跳转登出页面";
    }
}

四、视频演示地址

https://v.qq.com/x/page/d063304k06a.html

五、我的源码

https://github.com/X-rapido/CAS_SSO_Record/tree/master/simple-sso

六、错误集合

java.lang.RuntimeException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed:

导致这个问题的原因就是，客户端，没有导入证书，报的错，客户端的jdk，也是需要导入证书的,而且必须和服务端的证书一致。

java.lang.RuntimeException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   org.jasig.cas.client.util.CommonUtils.getResponseFromServer(CommonUtils.java:403)
   org.jasig.cas.client.validation.AbstractCasProtocolUrlBasedTicketValidator.retrieveResponseFromServer(AbstractCasProtocolUrlBasedTicketValidator.java:41)
   org.jasig.cas.client.validation.AbstractUrlBasedTicketValidator.validate(AbstractUrlBasedTicketValidator.java:193)
   org.jasig.cas.client.validation.AbstractTicketValidationFilter.doFilter(AbstractTicketValidationFilter.java:204)
   org.jasig.cas.client.session.SingleSignOutFilter.doFilter(SingleSignOutFilter.java:97)
   org.springframework.web.filter.CharacterEncodingFilter.doFilterInternal(CharacterEncodingFilter.java:88)
   org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:107)

org.apereo.cas.services.RegisteredServiceAccessStrategyUtils.ensurePrincipalAccessIsAllowedForService(Lorg/apereo/cas/authentication/principal/Service;Lorg/apereo/cas/services/RegisteredService;Lorg/apereo/cas/ticket/TicketGrantingTicket;)V

检查JDK证书是否导入成功

七、总结

本章讲解了cas-client如何使用，但我们实际上远远比这要复杂，当然我们这个demo也作为入门了解阶段学习，但目标很明确，要了解cas的整个转发过程，在测试过程，请多注意使用浏览器的Debug功能进行观察转发和重定向的过程。

八、参考文档

https://github.com/cas-projects/cas-sample-java-webapp

https://github.com/apereo/java-cas-client

未经允许请勿转载：程序喵 » Cas 5.2.x版本使用 —— 实现SSO单点登录（九）

程序喵

项目架构

一、配置hosts文件

二、配置cas服务端

1、配置json服务注册

2、pom.xml 配置

3、application.properties 配置

三、配置客户端

1、pom.xml 配置

2、项目结构

3、 AppRun.java

SimpleUrlPatternMatcherStrategy.java

UserController.java

四、视频演示地址

五、我的源码

六、错误集合

七、总结

八、参考文档

Cas 5.2.x版本使用 —— 第三方登录[QQ、微信、CSDN、GitHub]（二十二）

Cas 5.2.x版本使用 —— Management 服务管理搭建（二十一）

Cas 5.2.x版本使用 —— 通过Email邮箱重置用户密码（二十）

Cas 5.2.x版本使用 —— 配置 Swagger API 集成（十九）

Cas 5.2.x版本使用 —— Restful API 方式实现SSO（十八）

Cas 5.2.x版本使用 —— Restful API 方式验证Ticket（十七）

Cas 5.2.x版本使用 —— 存储Ticket到redis（十六）

Cas 5.2.x版本使用 —— 代理认证拓展理解（十五）