本文档详细介绍了如何利用CAS（Central Authentication Service，中央认证服务）来实现Web单点登录（Single Sign-On，SSO）。首先，让我们明确什么是SSO，它包括Web-SSO和桌面SSO，这里主要关注的是Web-SSO，即通过网络协议在多个Web应用之间实现一次登录即可访问所有资源，而无需每次都进行身份验证。
在SSO体系中，有三个关键角色：用户(User)、Web应用(Web App)和SSO认证中心，它们之间的互动构成了SSO的核心逻辑。SSO的核心原则包括：所有登录发生在认证中心，认证中心确保用户身份的真实性，并与Web应用建立信任关系。
CAS作为Yale大学发起的一个Java开源项目，专门用于构建Web SSO，其核心概念包括：
1. **SSO**: 单点登录，允许用户在一个认证中心登录后自动获取其他相关Web应用的授权。
2. **TGT (TicketGrantingTicket)**: 用户身份凭证票据，是用户首次登录时从认证中心获取的，用于后续请求服务票证。
3. **ST (ServiceTicket)**: 服务许可凭证票据，由CASServer根据TGT生成，用于特定Web应用的访问授权。
4. **TGC (TicketGrantingCookie)**: 存储TGT的Cookie，便于在用户浏览器间保持会话状态。
CAS的架构主要包括两个部分：
- **CASServer**：作为身份验证的核心组件，它负责处理用户的用户名和密码，验证用户身份后会生成TGT和ST。
- **CASClient**：部署在客户端的Web应用中，作为安全过滤器，对每个受保护的Web请求进行身份验证检查。如果没有找到有效的ServiceTicket，会引导用户到CASServer进行认证。一旦用户成功认证，CASServer会生成ST并返回给CASClient，同时向用户浏览器发送TGC。
基础的CAS协议流程如下：
1. 客户端发起请求访问受保护的Web资源时，CASClient检查请求中是否包含ServiceTicket。
2. 如果没有，CASClient将用户重定向到CASServer进行认证（Step2）。
3. 用户在CASServer输入正确的凭证后，CASServer生成一个新的ServiceTicket和TGC，然后将用户重定向回CASClient，附带上ServiceTicket（Step3）。
4. CASClient接收到带有ServiceTicket的重定向请求，验证票证后，允许用户访问目标Web应用的资源。
通过这个流程，用户只需在CASServer完成一次登录，就能在整个系统中享受一站式访问权限，实现了SSO的核心价值——简化用户认证过程，提高用户体验。在实际部署中，还需要考虑安全性、性能优化以及与其他系统的集成等问题。
我的内容管理
展开
