cas域名配置_CAS单点登录必须要使用域名吗不能使用IP吗

1、在tomcat中配置CAS

CAS 原理和协议

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对用户的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登录时，重定向到 CAS Server。图1 是 CAS 最基本的协议过程：

图 1. CAS 基础协议

CAS Client 与受保护的客户端应用部署在一起，以 Filter 方式保护受保护的资源。对于访问受保护资源的每个 Web 请求，CAS Client 会分析该请求的 Http 请求中是否包含 Service Ticket，如果没有，则说明当前用户尚未登录，于是将请求重定向到指定好的 CAS Server 登录地址，并传递 Service （也就是要访问的目的资源地址），以便登录成功过后转回该地址。用户在第 3 步中输入认证信息，如果登录成功，CAS Server 随机产生一个相当长度、唯一、不可伪造的 Service Ticket，并缓存以待将来验证，之后系统自动重定向到 Service 所在地址，并为客户端浏览器设置一个 Ticket Granted Cookie（TGC），CAS Client 在拿到 Service 和新产生的 Ticket 过后，在第 5，6 步中与 CAS Server 进行身份合适，以确保 Service Ticket 的合法性。

在该协议中，所有与 CAS 的交互均采用 SSL 协议，确保，ST 和 TGC 的安全性。协议工作过程中会有 2 次重定向的过程，但是 CAS Client 与 CAS Server 之间进行 Ticket 验证的过程对于用户是透明的。

另外，CAS 协议中还提供了 Proxy （代理）模式，以适应更加高级、复杂的应用场景，具体介绍可以参考 CAS 官方网站上的相关文档。

准备工作

本文中的例子以 tomcat5.5 为例进行讲解，下载地址：

http://tomcat.apache.org/download-55.cgi

到 CAS 官方网站下载 CAS Server 和 Client，地址分别为：

http://www.ja-sig.org/downloads/cas/cas-server-3.1.1-release.zip

http://www.ja-sig.org/downloads/cas-clients/cas-client-java-2.1.1.zip

部署 CAS Server

CAS Server 是一套基于 Java 实现的服务，该服务以一个 Java Web Application 单独部署在与 servlet2.3 兼容的 Web 服务器上，另外，由于 Client 与 CAS Server 之间的交互采用 Https 协议，因此部署 CAS Server 的服务器还需要支持 SSL 协议。当 SSL 配置成功过后，像普通 Web 应用一样将 CAS Server 部署在服务器上就能正常运行了，不过，在真正使用之前，还需要扩展验证用户的接口。

在 Tomcat 上部署一个完整的 CAS Server 主要按照以下几个步骤：

配置 Tomcat 使用 Https 协议

如果希望 Tomcat 支持 Https，主要的工作是配置 SSL 协议，其配置过程和配置方法可以参考 Tomcat 的相关文档。不过在生成证书的过程中，会有需要用到主机名的地方，CAS 建议不要使用 IP 地址，而要使用机器名或域名。

部署 CAS Server

CAS Server 是一个 Web 应用包，将前面下载的 cas-server-3.1.1-release.zip 解开，把其中的 cas-server-webapp-3.1.1.war 拷贝到 tomcat的 webapps 目录，并更名为 cas.war。由于前面已配置好 tomcat 的 https 协议，可以重新启动 tomcat，然后访问：https://localhost:8443/cas ，如果能出现正常的 CAS 登录页面，则说明 CAS Server 已经部署成功。

虽然 CAS Server 已经部署成功，但这只是一个缺省的实现，在实际使用的时候，还需要根据实际概况做扩展和定制，最主要的是扩展认证 (Authentication) 接口和 CAS Server 的界面。

扩展认证接口

CAS Server 负责完成对用户的认证工作，它会处理登录时的用户凭证 (Credentials) 信息，用户名/密码对是最常见的凭证信息。CAS Server 可能需要到数据库检索一条用户帐号信息，也可能在 XML 文件中检索用户名/密码，还可能通过 LDAP Server 获取等，在这种情况下，CAS 提供了一种灵活但统一的接口和实现分离的方式，实际使用中 CAS 采用哪种方式认证是与 CAS 的基本协议分离开的，用户可以根据认证的接口去定制和扩展。

扩展 AuthenticationHandler

CAS 提供扩展认证的核心是 AuthenticationHandler 接口，该接口定义如清单 1 下：

清单 1. AuthenticationHandler定义

public interface AuthenticationHandler {

/**

* Method to determine if the credentials supplied are valid.

* @param credentials The credentials to validate.

* @return true if valid, return false otherwise.

* @throws AuthenticationException An AuthenticationException can contain

* details about why a particular authentication request failed.

boolean authenticate(Credentials credentials) throws AuthenticationException;

/**

* Method to check if the handler knows how to handle the credentials

* provided. It may be a simple check of the Credentials class or something

* more complicated such as scanning the information contained in the

* Credentials object.

* @param credentials The credentials to check.

* @return true if the handler supports the Credentials, false othewrise.

boolean supports(Credentials credentials);

}

该接口定义了 2 个需要实现的方法，supports ()方法用于检查所给的包含认证信息的Credentials 是否受当前 AuthenticationHandler 支持；而 authenticate() 方法则担当验证认证信息的任务，这也是需要扩展的主要方法，根据情况与存储合法认证信息的介质进行交互，返回 boolean 类型的值，true 表示验证通过，false 表示验证失败。

CAS3中还提供了对AuthenticationHandler 接口的一些抽象实现，比如，可能需要在执行authenticate() 方法前后执行某些其他操作，那么可以让自己的认证类扩展自清单 2 中的抽象类：

清单 2. 定义

public abstract class

implements AuthenticateHandler{

protected Log log = LogFactory.getLog(this.getClass());

protected boolean preAuthenticate(final Credentials credentials) {

return true;

}

protected boolean postAuthenticate(final Credentials credentials,

final boolean authenticated) {

return authenticated;

}

public final boolean authenticate(final Credentials credentials)

throws AuthenticationException {

if (!preAuthenticate(credentials)) {

return false;

}

final boolean authenticated = doAuthentication(credentials);

return postAuthenticate(credentials, authenticated);

}

protected abstract boolean doAuthentication(final Credentials credentials)

throws AuthenticationException;

}

类新定义了 preAuthenticate() 方法和 postAuthenticate() 方法，而实际的认证工作交由 doAuthentication() 方法来执行。因此，如果需要在认证前后执行一些额外的操作，可以分别扩展 preAuthenticate()和 ppstAuthenticate() 方法，而 doAuthentication() 取代 authenticate() 成为了子类必须要实现的方法。

由于实际运用中，最常用的是用户名和密码方式的认证，CAS3 提供了针对该方式的实现，如清单 3 所示：

清单 3. 定义

public abstract class extends

{

...

protected final boolean doAuthentication(final Credentials credentials)

throws AuthenticationException {

return ((UsernamePasswordCredentials) credentials);

}

protected abstract boolean (

final UsernamePasswordCredentials credentials) throws AuthenticationException;

protected final PasswordEncoder getPasswordEncoder() {

return this.passwordEncoder;

}

public final void setPasswordEncoder(final PasswordEncoder passwordEncoder) {

this.passwordEncoder = passwordEncoder;

}

...

}

基于用户名密码的认证方式可直接扩展自，验证用户名密码的具体操作通过实现 () 方法达到，另外，通常情况下密码会是加密过的，setPasswordEncoder() 方法就是用于指定适当的加密器。

从以上清单中可以看到，doAuthentication() 方法的参数是 Credentials 类型，这是包含用户认证信息的一个接口，对于用户名密码类型的认证信息，可以直接使用 UsernamePasswordCredentials，如果需要扩展其他类型的认证信息，需要实现Credentials接口，并且实现相应的接口，其具体方法可以借鉴 UsernamePasswordCredentials 和 UsernamePassword。

JDBC 认证方法

用户的认证信息通常保存在数据库中，因此本文就选用这种情况来介绍。将前面下载的 cas-server-3.1.1-release.zip 包解开后，在 moles 目录下可以找到包 cas-server-support-jdbc-3.1.1.jar，其提供了通过 JDBC 连接数据库进行验证的缺省实现，基于该包的支持，我们只需要做一些配置工作即可实现 JDBC 认证。

JDBC 认证方法支持多种数据库，DB2, Oracle, MySql, Microsoft SQL Server 等均可，这里以 DB2 作为例子介绍。并且假设DB2数据库名： CASTest，数据库登录用户名： db2user，数据库登录密码： db2password，用户信息表为： userTable，该表包含用户名和密码的两个数据项分别为 userName 和 password。

1. 配置 DataStore

打开文件 %CATALINA_HOME%/webapps/cas/WEB-INF/deployerConfigContext.xml，添加一个新的 bean 标签，对于 DB2，内容如清单 4 所示：

清单 4. 配置 DataStore

<value>com.ibm.db2.jcc.DB2Driver</value>

</property>

<value>jdbc:db2://9.125.65.134:50000/CASTest</value>

</property>

</property>

<value>db2password</value>

</property>

</bean>

其中 id 属性为该 DataStore 的标识，在后面配置 AuthenticationHandler 会被引用，另外，需要提供 DataStore 所必需的数据库驱动程序、连接地址、数据库登录用户名以及登录密码。

2. 配置 AuthenticationHandler

在 cas-server-support-jdbc-3.1.1.jar 包中，提供了 3 个基于 JDBC 的 AuthenticationHandler，分别为 , , 。其中是用所给的用户名和密码去建立数据库连接，根据连接建立是否成功来判断验证成功与否；通过配置一个 SQL 语句查出密码，与所给密码匹配；通过配置存放用户验证信息的表、用户名字段和密码字段，构造查询语句来验证。

使用哪个 AuthenticationHandler，需要在 deployerConfigContext.xml 中设置，默认情况下，CAS 使用一个简单的 username=password 的 AuthenticationHandler，在文件中可以找到如下一行：<bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePassword

AuthenticationHandler" />，我们可以将其注释掉，换成我们希望的一个 AuthenticationHandler，比如，使用或可以分别选取清单 5 或清单 6 的配置。

清单 5. 使用

<property name="sql"

value="select password from userTable where lower(userName) = lower(?)" />

</bean>

清单 6. 使用

<bean id=""

class="org.jasig.cas.adaptors.jdbc."

abstract="false" singleton="true" lazy-init="default"

autowire="default" dependency-check="default">

<value>userTable</value>

</property>

<value>userName</value>

</property>

<value>password</value>

</property>

</bean>

另外，由于存放在数据库中的密码通常是加密过的，所以 AuthenticationHandler 在匹配时需要知道使用的加密方法，在 deployerConfigContext.xml 文件中我们可以为具体的 AuthenticationHandler 类配置一个 property，指定加密器类，比如对于，可以修改如清单7所示：

清单 7. 添加 passwordEncoder

<property name="sql"

value="select password from userTable where lower(userName) = lower(?)" />

</bean>

其中 myPasswordEncoder 是对清单 8 中设置的实际加密器类的引用：

清单 8. 指定具体加密器类

<bean id="passwordEncoder"

class="org.jasig.cas.authentication.handler.MyPasswordEncoder"/>

这里 MyPasswordEncoder 是根据实际情况自己定义的加密器，实现 PasswordEncoder 接口及其 encode() 方法。

3. 部署依赖包

在以上配置完成以后，需要拷贝几个依赖的包到 cas 应用下，包括：

将 cas-server-support-jdbc-3.1.1.jar 拷贝到 %CATALINA_HOME%/webapps/cas/ WEB-INF/lib 目录。

数据库驱动，由于这里使用 DB2，将 %DB2_HOME%/java 目录下的 db2java.zip （更名为 db2java.jar）, db2jcc.jar, db2jcc_license_cu.jar 拷贝到 %CATALINA_HOME%/webapps/cas/WEB-INF/lib 目录。对于其他数据库，同样将相应数据库驱动程序拷贝到该目录。

DataStore 依赖于 commons-collections-3.2.jar, commons-dbcp-1.2.1.jar, commons-pool-1.3.jar，需要到 apache 网站的 Commons 项目下载以上 3 个包放进 %CATALINA_HOME%/webapps/cas/WEB-INF/lib 目录。

扩展 CAS Server 界面

CAS 提供了 2 套默认的页面，分别为“ default ”和“ simple ”，分别在目录“ cas/WEB-INF/view/jsp/default ”和“ cas/WEB-INF/view/jsp/simple ”下。其中 default 是一个稍微复杂一些的页面，使用 CSS，而 simple 则是能让 CAS 正常工作的最简化的页面。

在部署 CAS 之前，我们可能需要定制一套新的 CAS Server 页面，添加一些个性化的内容。最简单的方法就是拷贝一份 default 或 simple 文件到“ cas/WEB-INF/view/jsp ”目录下，比如命名为 newUI，接下来是实现和修改必要的页面，有 4 个页面是必须的：

casConfirmView.jsp: 当用户选择了“ warn ”时会看到的确认界面

casGenericSuccess.jsp: 在用户成功通过认证而没有目的Service时会看到的界面

casLoginView.jsp: 当需要用户提供认证信息时会出现的界面

casLogoutView.jsp: 当用户结束 CAS 单点登录系统会话时出现的界面

CAS 的页面采用 Spring 框架编写，对于不熟悉 Spring 的使用者，在修改之前需要熟悉该框架。

页面定制完过后，还需要做一些配置从而让 CAS 找到新的页面，拷贝“ cas/WEB-INF/classes/default_views.properties ”，重命名为“ cas/WEB-INF/classes/ newUI_views.properties ”，并修改其中所有的值到相应新页面。最后是更新“ cas/WEB-INF/cas-servlet.xml ”文件中的 viewResolver，将其修改为如清单 9 中的内容。

清单 9. 指定 CAS 页面

<bean id="viewResolver"

class="org.springframework.web.servlet.view.ResourceBundleViewResolver" p:order="0">

<list>

<value>${cas.viewResolver.basename}</value>

<value> newUI_views</value>

</list>

</property>

</bean>

部署客户端应用

单点登录的目的是为了让多个相关联的应用使用相同的登录过程，本文在讲解过程中构造 2个简单的应用，分别以 casTest1 和 casTest2 来作为示例，它们均只有一个页面，显示欢迎信息和当前登录用户名。这 2 个应用使用同一套登录信息，并且只有登录过的用户才能访问，通过本文的配置，实现单点登录，即只需登录一次就可以访问这两个应用。

与 CAS Server 建立信任关系

假设 CAS Server 单独部署在一台机器 A，而客户端应用部署在机器 B 上，由于客户端应用与 CAS Server 的通信采用 SSL，因此，需要在 A 与 B 的 JRE 之间建立信任关系。

首先与 A 机器一样，要生成 B 机器上的证书，配置 Tomcat 的 SSL 协议。其次，下载http://blogs.sun.com/andreas/entry/no_more_unable_to_find 的 InstallCert.java，运行“ java InstallCert compA:8443 ”命令，并且在接下来出现的询问中输入 1。这样，就将 A 添加到了 B 的 trust store 中。如果多个客户端应用分别部署在不同机器上，那么每个机器都需要与 CAS Server 所在机器建立信任关系。

配置 CAS Filter

准备好应用 casTest1 和 casTest2 过后，分别部署在 B 和 C 机器上，由于 casTest1 和casTest2，B 和 C 完全等同，我们以 casTest1 在 B 机器上的配置做介绍，假设 A 和 B 的域名分别为 domainA 和 domainB。

将 cas-client-java-2.1.1.zip 改名为 cas-client-java-2.1.1.jar 并拷贝到 casTest1/WEB-INF/lib目录下，修改 web.xml 文件，添加 CAS Filter，如清单 10 所示：

清单 10. 添加 CAS Filter

<web-app>

...

<filter-name>CAS Filter</filter-name>

<filter-class>e.yale.its.tp.cas.client.filter.CASFilter</filter-class>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.loginUrl</param-name>

<param-value>https://domainA:8443/cas/login</param-value>

</init-param>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.validateUrl</param-name>

<param-value>https://domainA:8443/cas/serviceValidate</param-value>

</init-param>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.serverName</param-name>

<param-value>domainB:8080</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>CAS Filter</filter-name>

<url-pattern>/protected-pattern/*</url-pattern>

</filter-mapping>

...

</web-app>

对于所有访问满足 casTest1/protected-pattern/ 路径的资源时，都要求到 CAS Server 登录，如果需要整个 casTest1 均受保护，可以将 url-pattern 指定为“/*”。

从清单 10 可以看到，我们可以为 CASFilter 指定一些参数，并且有些是必须的，表格 1 和表格 2 中分别是必需和可选的参数：

表格 1. CASFilter 必需的参数

参数名作用

e.yale.its.tp.cas.client.filter.loginUrl 指定 CAS 提供登录页面的 URL

e.yale.its.tp.cas.client.filter.validateUrl 指定 CAS 提供 service ticket 或 proxy ticket 验证服务的 URL

e.yale.its.tp.cas.client.filter.serverName 指定客户端的域名和端口，是指客户端应用所在机器而不是 CAS Server 所在机器，该参数或 serviceUrl 至少有一个必须指定

e.yale.its.tp.cas.client.filter.serviceUrl 该参数指定过后将覆盖 serverName 参数，成为登录成功过后重定向的目的地址

表格 2. CASFilter 可选参数

参数名作用

e.yale.its.tp.cas.client.filter.proxyCallbackUrl 用于当前应用需要作为其他服务的代理(proxy)时获取 Proxy Granting Ticket 的地址

e.yale.its.tp.cas.client.filter.authorizedProxy 用于允许当前应用从代理处获取 proxy tickets，该参数接受以空格分隔开的多个 proxy URLs，但实际使用只需要一个成功即可。当指定该参数过后，需要修改 validateUrl 到 proxyValidate，而不再是 serviceValidate

e.yale.its.tp.cas.client.filter.renew 如果指定为 true，那么受保护的资源每次被访问时均要求用户重新进行验证，而不管之前是否已经通过

e.yale.its.tp.cas.client.filter.wrapRequest 如果指定为 true，那么 CASFilter 将重新包装 HttpRequest,并且使 getRemoteUser() 方法返回当前登录用户的用户名

e.yale.its.tp.cas.client.filter.gateway 指定 gateway 属性

传递登录用户名

CAS 在登录成功过后，会给浏览器回传 Cookie，设置新的到的 Service Ticket。但客户端应用拥有各自的 Session，我们要怎么在各个应用中获取当前登录用户的用户名呢？CAS Client 的 Filter 已经做好了处理，在登录成功后，就可以直接从 Session 的属性中获取，如清单 11 所示：

清单 11. 在 Java 中通过 Session 获取登录用户名

// 以下两者都可以

session.getAttribute(CASFilter.CAS_FILTER_USER);

session.getAttribute("e.yale.its.tp.cas.client.filter.user");

在 JSTL 中获取用户名的方法如清单 12 所示：

清单 12. 通过 JSTL 获取登录用户名

<c:out value="${sessionScope[CAS:'e.yale.its.tp.cas.client.filter.user']}"/>

另外，CAS 提供了一个 CASFilterRequestWrapper 类，该类继承自HttpServletRequestWrapper，主要是重写了 getRemoteUser() 方法，只要在前面配置 CASFilter 的时候为其设置“ e.yale.its.tp.cas.client.filter.wrapRequest ”参数为 true，就可以通过 getRemoteUser（）方法来获取登录用户名，具体方法如清单 13 所示：

清单 13. 通过 CASFilterRequestWrapper 获取登录用户名

CASFilterRequestWrapper reqWrapper=new CASFilterRequestWrapper(request);

out.println("The logon user:" + reqWrapper.getRemoteUser());

2、cas service参数可以用域名吗

CAS 的安全性是一个非常重要的 Topic 。 CAS 从 v1 到 v3 ，都很依赖于 SSL ，它假定了这样一个事实，用户在一个非常不安全的网络环境中使用 SSO ， Hacker 的 Sniffer 会很容易抓住所有的 Http Traffic ，包括通过 Http 传送的密码甚至 Ticket ...

3、CAS单点登录必须要使用域名吗？不能使用IP 吗

对,是必须得使用域名,这是由于它是基于COOKIE来实现的. 所有的WEB应用要想使用SSO的都离不开COOKIE. 甚至于可以说几乎所有的登录的实现都离不开COOKIE.

4、CAS 登录异常求助

解决应用程序错误的方法步骤： 1.首先排除病毒原因，使用杀毒软件,比如最新版本的360杀毒快速查杀3－5分钟，根据检查结果，点击立即处理。 2.如果应用程序出错的提示是缺少某个文件，那就可能是这个文件损坏，根据这个组件查询是哪个系统组件损坏，重新安装相关组件，恢复程序文件，一般即可解决。 3.若是相关软件自身的组件缺失，只需要重新安装这个软件即可。比如运行迅雷时提示缺少某个文件，可以尝试重新安装

5、cas单点登录配置，服务器超时刷新页面报错

首先回答你第一个问题，安全证书是tomcat或者apache用于开启ssl安全的socket链接使用的，也就是支持https协议的。一般我们都用tomcat作为应用服务器，这样就需要tomcat首先支持https协议，开启https很简单，找一下官方的文档资料，我在这里简单说一下，首先在部署tomcat的机器上为jdk（确切的说是jre，不过通常我们都在tomcat的服务器上安装jdk而不是jre）生成证书，使用jre自带的keytool工具来生成即可，生成证书的过程中注意一点，就是CN项，也就是第一个字段，是服务器的域名，比如本机测试的话可以用localhost。使用以下语句
1. keytool -keystore keystore -alias acegisecurity -genkey -keyalg RSA -validity 9999 -storepass password -keypass password
What is your first and last name?（这个就是CN项）回答localhost即可
其他随便填写即可。
2. keytool -export -v -rfc -alias acegisecurity -file acegisecurity.txt -keystore keystore -storepass password
这一步是导出key。
3. 复制 acegisecurity.txt 到 %JAVA_HOME%\jre\lib\security

4. 复制 keystore 到 %CATALINA_HOME %
5. 控制台窗口（如果是Windows系统就是dos窗口）下进入 %JAVA_HOME%\jre\lib\security
6. keytool -import -v -file acegisecurity.txt -keypass password - keystore cacerts -storepass changeit -alias acegisecurity
向虚拟机中导入证书
接下来，用编辑器打开%CATALINA_HOME%/conf/server.xml，找到<Connector port="8443" maxHttpHeaderSize="8192"
maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />
这一行默认是被注释掉的，取消注释，并加入keystoreFile="keystore" keystorePass="password"这两个属性，注意keystoreFile属性可以使用keystore文件的绝对路径，也可使用基于%CATALINA_HOME%环境变量的相对路径，keystorePass是访问keystore的密码，应和上面制作证书时设定的密码保持一致。
访问https://localhost:8443，应弹出一个对话框，告知用户正要访问的站点的证书不安全，是否接受，确认接受，应可看到那只熟悉可爱的小猫。
通过以上步骤就为tomcat配置了ssl。

配置了ssl，然后就是把cas server的war部署到这个tomcat下就可以了，到此，你的cas服务器就算部署成功了，但是，cas server那个war默认是使用user.properties中的那么几个用户做认证，要实现不同类型的认证方式还需要自己开发，这里不具体讲了，可以参考官方文档，也可以问我。呵呵：）

部署了cas服务，接下来就是接入client application了。
接入application有三种方式，一种是使用acegisecurity，很好用，但是很复杂；一种是使用cas提供的cas client，简单快捷，适应各种恶劣环境，哈哈；最后一种是lam的一个开源项目，没试过，不敢说怎么样。前两种不明白可以找官方文档，也尅问我，哈哈。
就第一个问题说的较详细，实在打字太多，有点累了。后面的有点粗糙，不过对于有心的人我相信还是很受用的。总结了很久的东西，希望对你有帮助。

6、有人知道 cas单点登录系统是怎么样取得proxyticket的？

CAS 原理和协议

图 1. CAS 基础协议

另外，CAS 协议中还提供了 Proxy （代理）模式，以适应更加高级、复杂的应用场景，具体介绍可以参考 CAS 官方网站上的相关文档。

准备工作

本文中的例子以 tomcat5.5 为例进行讲解，下载地址：

http://tomcat.apache.org/download-55.cgi

到 CAS 官方网站下载 CAS Server 和 Client，地址分别为：

http://www.ja-sig.org/downloads/cas/cas-server-3.1.1-release.zip

http://www.ja-sig.org/downloads/cas-clients/cas-client-java-2.1.1.zip

部署 CAS Server

在 Tomcat 上部署一个完整的 CAS Server 主要按照以下几个步骤：

配置 Tomcat 使用 Https 协议

部署 CAS Server

扩展认证接口

扩展 AuthenticationHandler

CAS 提供扩展认证的核心是 AuthenticationHandler 接口，该接口定义如清单 1 下：

清单 1. AuthenticationHandler定义

public interface AuthenticationHandler {

/**

* Method to determine if the credentials supplied are valid.

* @param credentials The credentials to validate.

* @return true if valid, return false otherwise.

* @throws AuthenticationException An AuthenticationException can contain

* details about why a particular authentication request failed.

boolean authenticate(Credentials credentials) throws AuthenticationException;

/**

* Method to check if the handler knows how to handle the credentials

* provided. It may be a simple check of the Credentials class or something

* more complicated such as scanning the information contained in the

* Credentials object.

* @param credentials The credentials to check.

* @return true if the handler supports the Credentials, false othewrise.

boolean supports(Credentials credentials);

}

清单 2. 定义

public abstract class

implements AuthenticateHandler{

protected Log log = LogFactory.getLog(this.getClass());

protected boolean preAuthenticate(final Credentials credentials) {

return true;

}

protected boolean postAuthenticate(final Credentials credentials,

final boolean authenticated) {

return authenticated;

}

public final boolean authenticate(final Credentials credentials)

throws AuthenticationException {

if (!preAuthenticate(credentials)) {

return false;

}

final boolean authenticated = doAuthentication(credentials);

return postAuthenticate(credentials, authenticated);

}

protected abstract boolean doAuthentication(final Credentials credentials)

throws AuthenticationException;

}

由于实际运用中，最常用的是用户名和密码方式的认证，CAS3 提供了针对该方式的实现，如清单 3 所示：

清单 3. 定义

public abstract class extends

{

...

protected final boolean doAuthentication(final Credentials credentials)

throws AuthenticationException {

return ((UsernamePasswordCredentials) credentials);

}

protected abstract boolean (

final UsernamePasswordCredentials credentials) throws AuthenticationException;

protected final PasswordEncoder getPasswordEncoder() {

return this.passwordEncoder;

}

public final void setPasswordEncoder(final PasswordEncoder passwordEncoder) {

this.passwordEncoder = passwordEncoder;

}

...

}

JDBC 认证方法

1. 配置 DataStore

打开文件 %CATALINA_HOME%/webapps/cas/WEB-INF/deployerConfigContext.xml，添加一个新的 bean 标签，对于 DB2，内容如清单 4 所示：

清单 4. 配置 DataStore

<value>com.ibm.db2.jcc.DB2Driver</value>

</property>

<value>jdbc:db2://9.125.65.134:50000/CASTest</value>

</property>

</property>

<value>db2password</value>

</property>

</bean>

2. 配置 AuthenticationHandler

AuthenticationHandler" />，我们可以将其注释掉，换成我们希望的一个 AuthenticationHandler，比如，使用或可以分别选取清单 5 或清单 6 的配置。

清单 5. 使用

<property name="sql"

value="select password from userTable where lower(userName) = lower(?)" />

</bean>

清单 6. 使用

<bean id=""

class="org.jasig.cas.adaptors.jdbc."

abstract="false" singleton="true" lazy-init="default"

autowire="default" dependency-check="default">

<value>userTable</value>

</property>

<value>userName</value>

</property>

<value>password</value>

</property>

</bean>

清单 7. 添加 passwordEncoder

<property name="sql"

value="select password from userTable where lower(userName) = lower(?)" />

</bean>

其中 myPasswordEncoder 是对清单 8 中设置的实际加密器类的引用：

清单 8. 指定具体加密器类

<bean id="passwordEncoder"

class="org.jasig.cas.authentication.handler.MyPasswordEncoder"/>

这里 MyPasswordEncoder 是根据实际情况自己定义的加密器，实现 PasswordEncoder 接口及其 encode() 方法。

3. 部署依赖包

在以上配置完成以后，需要拷贝几个依赖的包到 cas 应用下，包括：

将 cas-server-support-jdbc-3.1.1.jar 拷贝到 %CATALINA_HOME%/webapps/cas/ WEB-INF/lib 目录。

扩展 CAS Server 界面

casConfirmView.jsp: 当用户选择了“ warn ”时会看到的确认界面

casGenericSuccess.jsp: 在用户成功通过认证而没有目的Service时会看到的界面

casLoginView.jsp: 当需要用户提供认证信息时会出现的界面

casLogoutView.jsp: 当用户结束 CAS 单点登录系统会话时出现的界面

CAS 的页面采用 Spring 框架编写，对于不熟悉 Spring 的使用者，在修改之前需要熟悉该框架。

清单 9. 指定 CAS 页面

<bean id="viewResolver"

class="org.springframework.web.servlet.view.ResourceBundleViewResolver" p:order="0">

<list>

<value>${cas.viewResolver.basename}</value>

<value> newUI_views</value>

</list>

</property>

</bean>

部署客户端应用

与 CAS Server 建立信任关系

配置 CAS Filter

将 cas-client-java-2.1.1.zip 改名为 cas-client-java-2.1.1.jar 并拷贝到 casTest1/WEB-INF/lib目录下，修改 web.xml 文件，添加 CAS Filter，如清单 10 所示：

清单 10. 添加 CAS Filter

<web-app>

...

<filter-name>CAS Filter</filter-name>

<filter-class>e.yale.its.tp.cas.client.filter.CASFilter</filter-class>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.loginUrl</param-name>

<param-value>https://domainA:8443/cas/login</param-value>

</init-param>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.validateUrl</param-name>

<param-value>https://domainA:8443/cas/serviceValidate</param-value>

</init-param>

<init-param>

<param-name>e.yale.its.tp.cas.client.filter.serverName</param-name>

<param-value>domainB:8080</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>CAS Filter</filter-name>

<url-pattern>/protected-pattern/*</url-pattern>

</filter-mapping>

...

</web-app>

对于所有访问满足 casTest1/protected-pattern/ 路径的资源时，都要求到 CAS Server 登录，如果需要整个 casTest1 均受保护，可以将 url-pattern 指定为“/*”。

从清单 10 可以看到，我们可以为 CASFilter 指定一些参数，并且有些是必须的，表格 1 和表格 2 中分别是必需和可选的参数：

表格 1. CASFilter 必需的参数

参数名作用

e.yale.its.tp.cas.client.filter.loginUrl 指定 CAS 提供登录页面的 URL

e.yale.its.tp.cas.client.filter.validateUrl 指定 CAS 提供 service ticket 或 proxy ticket 验证服务的 URL

e.yale.its.tp.cas.client.filter.serverName 指定客户端的域名和端口，是指客户端应用所在机器而不是 CAS Server 所在机器，该参数或 serviceUrl 至少有一个必须指定

e.yale.its.tp.cas.client.filter.serviceUrl 该参数指定过后将覆盖 serverName 参数，成为登录成功过后重定向的目的地址

表格 2. CASFilter 可选参数

参数名作用

e.yale.its.tp.cas.client.filter.proxyCallbackUrl 用于当前应用需要作为其他服务的代理(proxy)时获取 Proxy Granting Ticket 的地址

e.yale.its.tp.cas.client.filter.renew 如果指定为 true，那么受保护的资源每次被访问时均要求用户重新进行验证，而不管之前是否已经通过

e.yale.its.tp.cas.client.filter.wrapRequest 如果指定为 true，那么 CASFilter 将重新包装 HttpRequest,并且使 getRemoteUser() 方法返回当前登录用户的用户名

e.yale.its.tp.cas.client.filter.gateway 指定 gateway 属性

传递登录用户名

清单 11. 在 Java 中通过 Session 获取登录用户名

// 以下两者都可以

session.getAttribute(CASFilter.CAS_FILTER_USER);

session.getAttribute("e.yale.its.tp.cas.client.filter.user");

在 JSTL 中获取用户名的方法如清单 12 所示：

清单 12. 通过 JSTL 获取登录用户名

<c:out value="${sessionScope[CAS:'e.yale.its.tp.cas.client.filter.user']}"/>

清单 13. 通过 CASFilterRequestWrapper 获取登录用户名

CASFilterRequestWrapper reqWrapper=new CASFilterRequestWrapper(request);

out.println("The logon user:" + reqWrapper.getRemoteUser());

7、如何配置内网域名

建了DNS服务器。控制面板-添加删除程序-添加删除WINDOWS组件。

装一下，然后正向查找区域建个A记录把域名和IP绑定，就可以使用域名访问了。

8、CAS 单点登录跳转时报错

这个是由于CAS Validation Filter这个filter下面的配置中casServerUrlPrefix的路径配置不正确导致的，一般配置为http://cas服务器ip:对应的服务器使用端口/cas，前面也可能是https，这个要看你服务器的设置了。

导航:首页 > IDC知识 > cas域名配置

cas域名配置

与cas域名配置相关的知识