1. 概述CAS is an enterprise Single Sign-On (SSO) solution that is also open source.

什麼是 SSO？當你使用相同的憑據登錄 YouTube、Gmail 和 Maps 時，這就是 Single Sign-On。我們將通過設置 CAS 服務器和 Spring Boot 應用程序來演示這一點。Spring Boot 應用程序將使用 CAS 進行身份驗證。

2. CAS Server Setup

2.1. CAS Installation and Dependencies

服務器使用 Maven (Gradle) War Overlay 樣式以簡化設置和部署:

git clone https://github.com/apereo/cas-overlay-template.git cas-server

此命令將 cas-overlay-template 克隆到 cas-server 目錄。

我們將涵蓋的方面包括 JSON 服務註冊和 JDBC 數據庫連接。因此，我們將向 dependencies 部分的 build.gradle 文件添加這些模塊:

compile "org.apereo.cas:cas-server-support-json-service-registry:${casServerVersion}"
compile "org.apereo.cas:cas-server-support-jdbc:${casServerVersion}"

請務必檢查 casServer 的最新版本。

2.2. CAS Server Configuration

在啓動 CAS 服務器之前，我們需要添加一些基本配置。我們首先創建一個 cas-server/src/main/resources 文件夾，並在該文件夾中，隨後我們創建 application.properties 文件:

server.port=8443
spring.main.allow-bean-definition-overriding=true
server.ssl.key-store=classpath:/etc/cas/thekeystore
server.ssl.key-store-password=changeit

keytool -genkey -keyalg RSA -alias thekeystore -keystore thekeystore -storepass changeit -validity 360 -keysize 2048

為了避免 SSL 握手錯誤，我們應該使用 localhost 作為第一個和最後一個名稱的值。我們應該使用相同的組織名稱和單元值。此外，我們應該將 thekeystore 導入到我們用於運行客户端應用程序的 JDK/JRE 中:

keytool -importkeystore -srckeystore thekeystore -destkeystore $JAVA11_HOME/jre/lib/security/cacerts

./gradlew[.bat] run -Dorg.gradle.java.home=$JAVA11_HOME

當應用程序啓動時，我們將看到“READY”打印在終端上，並且服務器將在 https://localhost:8443 可用。

2.3. CAS Server User Configuration

我們還沒有配置任何用户，因此我們還不能登錄，因為我們還沒有配置任何用户。CAS 具有不同的配置方法，包括獨立模式。讓我們創建一個配置文件夾 cas-server/src/main/resources/etc/cas/config，並在該文件夾中創建一個 properties 文件 cas.properties。

cas.authn.accept.users=casuser::Mellon

我們需要將配置文件夾的位置告知 CAS 服務器，才能使設置生效。讓我們更新 tasks.gradle，以便我們可以從命令行傳遞位置作為 JVM 參數:

task run(group: "build", description: "Run the CAS web application in embedded container mode") {
    dependsOn 'build'
    doLast {
        def casRunArgs = new ArrayList<>(Arrays.asList(
          "-server -noverify -Xmx2048M -XX:+TieredCompilation -XX:TieredStopAtLevel=1".split(" ")))
        if (project.hasProperty('args')) {
            casRunArgs.addAll(project.args.split('\\s+'))
        }
        javaexec {
            main = "-jar"
            jvmArgs = casRunArgs
            args = ["build/libs/${casWebApplicationBinaryName}"]
            logger.info "Started ${commandLine}"
        }
    }
}

然後，我們保存文件並運行:

./gradlew run
  -Dorg.gradle.java.home=$JAVA11_HOME
  -Pargs="-Dcas.standalone.configurationDirectory=/cas-server/src/main/resources/etc/cas/config"

請注意，cas.standalone.configurationDirectory 的值是一個絕對路徑。現在我們可以訪問 https://localhost:8443 並使用用户名 casuser 和密碼 Mellon 登錄。

3. CAS 客户端配置

我們將使用 Spring Initializr 生成一個 Spring Boot 客户端應用。它將包含 Web、Security、Freemarker 和 DevTools 依賴。此外，我們還將添加 Spring Security CAS 模塊到其 pom.xml 中:

 <dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-cas</artifactId>
    <versionId>5.3.0.RELEASE</versionId>
</dependency>

最後，讓我們添加以下 Spring Boot 屬性來配置應用程序:

server.port=8900
spring.freemarker.suffix=.ftl

4. CAS 服務器服務註冊

客户端應用程序必須在進行任何身份驗證之前，與 CAS 服務器進行註冊。

CAS 服務器支持使用 YAML、JSON、MongoDB 和 LDAP 客户端註冊表。

在本教程中，我們將使用 JSON 服務註冊表方法。讓我們創建一個新的文件夾 cas-server/src/main/resources/etc/cas/services。這個文件夾將包含服務註冊表 JSON 文件。

我們將創建一個 JSON 文件，其中包含客户端應用程序的定義。文件名 casSecuredApp-8900.json 遵循 serviceName-Id.json 模式：

 {
  "@class" : "org.apereo.cas.services.RegexRegisteredService",
  "serviceId" : "http://localhost:8900/login/cas",
  "name" : "casSecuredApp",
  "id" : 8900,
  "logoutType" : "BACK_CHANNEL",
  "logoutUrl" : "http://localhost:8900/exit/cas"
}

serviceId 屬性定義了客户端應用程序的正則表達式 URL 模式。該模式應與客户端應用程序的 URL 匹配。

id 屬性應是唯一的。換句話説，不應有相同的 id 註冊到同一個 CAS 服務器的兩個或多個服務。具有重複的 id 將導致衝突和配置覆蓋。

cas.serviceRegistry.initFromJson=true
cas.serviceRegistry.json.location=classpath:/etc/cas/services

5. CAS Client Single Sign-On Configuration

full flow of interactions, called a CAS sequence." lang="en">The next step for us is to configure Spring Security to work with the CAS server. We should also check the full flow of interactions, called a CAS sequence.

CasSecuredApplication class of our Spring Boot app:" lang="en">Let’s add the following bean configurations to the CasSecuredApplication class of our Spring Boot app:

@Bean
public CasAuthenticationFilter casAuthenticationFilter(
  AuthenticationManager authenticationManager,
  ServiceProperties serviceProperties) throws Exception {
    CasAuthenticationFilter filter = new CasAuthenticationFilter();
    filter.setAuthenticationManager(authenticationManager);
    filter.setServiceProperties(serviceProperties);
    return filter;
}

@Bean
public ServiceProperties serviceProperties() {
    logger.info("service properties");
    ServiceProperties serviceProperties = new ServiceProperties();
    serviceProperties.setService("http://cas-client:8900/login/cas");
    serviceProperties.setSendRenew(false);
    return serviceProperties;
}

@Bean
public TicketValidator ticketValidator() {
    return new Cas30ServiceTicketValidator("https://localhost:8443");
}

@Bean
public CasAuthenticationProvider casAuthenticationProvider(
  TicketValidator ticketValidator,
  ServiceProperties serviceProperties) {
    CasAuthenticationProvider provider = new CasAuthenticationProvider();
    provider.setServiceProperties(serviceProperties);
    provider.setTicketValidator(ticketValidator);
    provider.setUserDetailsService(
      s -> new User("[email protected]", "Mellon", true, true, true, true,
      AuthorityUtils.createAuthorityList("ROLE_ADMIN")));
    provider.setKey("CAS_PROVIDER_LOCALHOST_8900");
    return provider;
}

HttpSecurity to secure some routes in WebSecurityConfig. In the process, we’ll also add the authentication entry point for exception handling." lang="en">Finally, let’s configure HttpSecurity to secure some routes in WebSecurityConfig. In the process, we’ll also add the authentication entry point for exception handling." lang="en">)

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers( "/secured", "/login").authenticated()
      .and()
      .exceptionHandling().authenticationEntryPoint(authenticationEntryPoint())
      .and()
      .addFilterBefore(singleSignOutFilter, CasAuthenticationFilter.class)
}

6. CAS 客户端單註銷配置

到目前為止，我們已經處理了單點登錄；現在讓我們考慮 CAS 的單註銷 (SLO)。

使用 CAS 管理用户身份驗證的應用可以從兩個地方註銷用户：

• 客户端應用可以從自身本地註銷用户，這不會影響用户在通過同一 CAS 服務器管理的其他應用中的登錄狀態。
• 客户端應用也可以從 CAS 服務器註銷用户，這將導致用户從所有連接到同一 CAS 服務器的客户端應用中註銷。

@GetMapping("/logout")
public String logout(
  HttpServletRequest request,
  HttpServletResponse response,
  SecurityContextLogoutHandler logoutHandler) {
    Authentication auth = SecurityContextHolder
      .getContext().getAuthentication();
    logoutHandler.logout(request, response, auth );
    new CookieClearingLogoutHandler(
      AbstractRememberMeServices.SPRING_SECURITY_REMEMBER_ME_COOKIE_KEY)
      .logout(request, response, auth);
    return "auth/logout";
}

在單註銷過程中，CAS 服務器首先會過期用户票證，然後會向所有註冊的客户端應用發送異步請求。每個接收到此信號的客户端應用將執行本地註銷。從而實現一次註銷，會導致到處註銷。

説了這麼多，讓我們為客户端應用添加一些 Bean 配置。具體來説，在 CasSecuredApplicaiton 中：

@Bean
public SecurityContextLogoutHandler securityContextLogoutHandler() {
    return new SecurityContextLogoutHandler();
}

@Bean
public LogoutFilter logoutFilter() {
    LogoutFilter logoutFilter = new LogoutFilter("https://localhost:8443/logout",
      securityContextLogoutHandler());
    logoutFilter.setFilterProcessesUrl("/logout/cas");
    return logoutFilter;
}

@Bean
public SingleSignOutFilter singleSignOutFilter() {
    SingleSignOutFilter singleSignOutFilter = new SingleSignOutFilter();
    singleSignOutFilter.setLogoutCallbackPath("/exit/cas");
    singleSignOutFilter.setIgnoreInitConfiguration(true);
    return singleSignOutFilter;
}

7. Connecting the CAS Server to a Database

我們可以配置 CAS 服務器讀取憑據來自 MySQL 數據庫。 我們將使用 MySQL 服務器上運行的 test 數據庫。 讓我們更新 cas-server/src/main/resources/application.yml:

cas:
    authn:
        accept:
            users:
        jdbc:
            query[0]:
                sql: SELECT * FROM users WHERE email = ?
                url: jdbc:mysql://127.0.0.1:3306/test?useUnicode=true&useJDBCCompliantTimezoneShift=true&useLegacyDatetimeCode=false&serverTimezone=UTC
                dialect: org.hibernate.dialect.MySQLDialect
                user: root
                password: root
                ddlAuto: none
                driverClass: com.mysql.cj.jdbc.Driver
                fieldPassword: password
                passwordEncoder:
                    type: NONE

spring.jpa.generate-ddl=false
spring.datasource.url= jdbc:mysql://127.0.0.1:3306/test?useUnicode=true&useJDBCCompliantTimezoneShift=true&useLegacyDatetimeCode=false&serverTimezone=UTC
spring.datasource.username=root
spring.datasource.password=root
spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver

@Bean
public CasUserDetailsService getUser(){
    return new CasUserDetailsService();
}

@Bean
public CasAuthenticationProvider casAuthenticationProvider(
  TicketValidator ticketValidator,
  ServiceProperties serviceProperties) {
    CasAuthenticationProvider provider = new CasAuthenticationProvider();
    provider.setServiceProperties(serviceProperties);
    provider.setTicketValidator(ticketValidator);
    provider.setUserDetailsService(getUser());
    provider.setKey("CAS_PROVIDER_LOCALHOST_8900");
    return provider;}

8. 結論

我們已經探討了如何使用 CAS SSO 與 Spring Security 以及相關的配置文件的使用方法。CAS SSO 還有許多可配置的方面，包括主題、協議類型和身份驗證策略等。