一、教程前言
-
教程目的:从头到尾细细道来单点登录服务器及客户端应用的每个步骤
-
单点登录(SSO):请看百科解释猛击这里打开
-
本教程使用的SSO服务器是Yelu大学研发的CAS(Central
Authentication Server),
官网:http://www.jasig.org/cas
-
本教程环境:
-
Tomcat6.0.20
-
JDK6
-
CASServer版本:cas-server-3.4.10
-
CAS Client版本:cas-client-3.2.1
-
教程撰写日期:2011-09-14
-
教程作者:pioneer
二、创建证书
啰嗦几句:证书是单点登录认证系统中很重要的一把钥匙,客户端于服务器的交互安全靠的就是证书;本教程由于是演示所以就自己用JDK自带的keytool工具生成证书;如果以后真正在产品环境中使用肯定要去证书提供商去购买,证书认证一般都是由VeriSign认证,
中文官方网站:http://www.verisign.com/cn/
-
用JDK自带的keytool工具生成证书:
命令:keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey
无图不给力,有图有真相:
用keytool生成证书
具体的输入项图片中都有说明,有一点我要解释一下;在输入完密码后提示输入域名是我输入的是sso.wsria.com,其实这个域名是不存在的,但是我为了演示所以虚拟了这个域名,技巧在于修改C:\Windows\System32\drivers\etc\hosts,添加内容如下:
127.0.0.1 sso.wsria.com
这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机
严重提醒:提示输入域名的时候不能输入IP地址
三、导出证书
命令:D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey
来点颜色:
使用keytool导出证书
至此导出证书完成,可以分发给应用的JDK使用了,接下来讲解客户端的JVM怎么导入证书
四、为客户端的JVM导入证书
命令:keytool -import -keystore D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security\cacerts -file D:/keys/wsria.crt -alias wsria
来点颜色瞧瞧:
为客户端JVM导入证书
特别说明:D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security
— 是jre的目录;密码还是刚刚输入的密码。
至此证书的创建、导出、导入到客户端JVM都已完成,下面开始使用证书到Web服务器中,本教程使用tomcat。
错误:keytool错误: java.io.IOException: Keystore was tampered with, or password was incorrect
解决:1.新建KEY,密码设为changeit
2.删除掉:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security中的cacerts文件
五、应用证书到Web服务器-Tomcat
说是应用起始做的事情就是启用Web服务器(Tomcat)的SSL,也就是HTTPS加密协议,为什么加密我就不用啰嗦了吧……
准备好一个干净的tomcat,本教程使用的apache-tomcat-6.0.29
打开tomcat目录的conf/server.xml文件,开启83和87行的注释代码,并设置keystoreFile、keystorePass修改结果如下:
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="D:/keys/wsriakey"
keystorePass="wsria.com"
/>
参数说明:
-
keystoreFile:在第一步创建的key存放位置
-
keystorePass:创建证书时的密码
好了,到此Tomcat的SSL启用完成,现在你可以启动tomcat试一下了,例如本教程输入地址:https://sso.wsria.com:8443/
打开的是:
浏览器提示证书错误
好的,那么我们点击“继续浏览此网站(不推荐)。 ”,现在进入Tomcat目录了吧,如果是那么你又向成功迈进了一步。
OK,接下来要配置CAS服务器了。
六、CAS服务器初体验
-
CAS服务端下载:http://www.jasig.org/cas/download
-
下载完成后将cas-server-3.4.3.1.zip解压,解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war,改名为cas,然后复制cas目录到你的tomcat/webapp目录下
-
现在可以访问CAS应用了,当然要使用HTTPS加密协议访问,
例如本教程地址:https://sso.wsria.com:8443/cas/login ,现在打开了CAS服务器的页面输入admin/admin点击登录(CAS默认的验证规则只要用户名和密码相同就通过)所以如果你看到下面的这张图片你就成功了
CAS登录成功
你成功了吗?如果没有成功请再检查以上步骤!
七、CAS服务器深入配置
上面的初体验仅仅是简单的身份验证,实际应用中肯定是要读取数据库的数据,下面我们来进一步配置CAS服务器怎么读取数据库的信息进行身份验证。
首先打开tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml文件,配置的地方如下:
-
找到第92行处,注释掉:SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler,这个是比较简单的,只是判断用户名和密码相同即可通过,这个肯定不能在实际应用中使用,弃用!
-
注释掉92行后在下面添加下面的代码:
<bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">
<property name="dataSource" ref="dataSource" />
<property name="sql" value="select password from t_admin_user where login_name=?" />
<property name="passwordEncoder" ref="MD5PasswordEncoder"/>
</bean>
在文件的末尾之前加入如下代码:
<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
<property name="driverClassName"><value>com.mysql.jdbc.Driver</value></property>
<property name="url"><value>jdbc:mysql://localhost:3306/test</value></property>
<property name="username"><value>root</value></property>
<property name="password"><value>root</value></property>
</bean>
<bean id="MD5PasswordEncoder" class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder">
<constructor-arg index="0">
<value>MD5</value>
</constructor-arg>
</bean>
-
复制cas-server-3.4.3.1\modules\cas-server-support-jdbc-3.4.3.1.jar和mysql驱动jar包到tomcat/webapp/cas/WEB-INF/lib目录
-
配置解释:
-
QueryDatabaseAuthenticationHandler是cas-server-support-jdbc提供的查询接口其中一个,QueryDatabaseAuthenticationHandler是通过配置一个
SQL 语句查出密码,与所给密码匹配
-
dataSource我就不用解释了吧,就是使用JDBC查询时的数据源
-
sql语句就是查询哪一张表,本例根据t_admin_user表的login_name字段查询密码,CAS会匹配用户输入的密码,如果匹配则通过;下面是t_admin_user的表结构:
CREATE TABLE t_admin_user (
id BIGINT NOT NULL AUTO_INCREMENT,
email VARCHAR(255),
login_name VARCHAR(255) NOT NULL UNIQUE,
name VARCHAR(255),
password VARCHAR(255),
PRIMARY KEY (id)
) ENGINE=InnoDB;
-
passwordEncoder,这个就算是自己加的盐巴了,意思很明显就是处理密码的加密,看你的应用中数据库保存的是明码还是加密过的,比如本例是使用MD5加密的,所以配置了MD5PasswordEncoder这个Handler,cas内置了MD5的功能所以只需要配置一下就可以了;如果在实际应用中使用的是公司自己的加密算法那么就需要自己写一个Handler来处理密码,实现方式也比较简单,创建一个类继承org.jasig.cas.authentication.handler.PasswordEncoder然后在encode方法中加密用户输入的密码然后返回即可
八、配置CAS客户端
-
新建web工程,cas-client,将cas-client-core.jar包加入工程
-
修改web.xml文件,如下所示
-
3.访问系统,会跳转到CAS-server的登录页面,输入t_admin_user中的用户名和密码进入系统
九、美化CAS服务器界面
CAS服务端(cas-server)的界面只能在测试的时候用一下,真正系统上线肯定需要定制开发自己的页面,就想网易和CSDN的统一认证平台一样,所有子系统的认证都通过此平台来转接,大家可以根据他们的页面自己定制出适合所属应用或者公司的界面;简单介绍一下吧,复制cas\WEB-INF\view\jsp\default\ui的一些JSP文件,每一个文件的用途文件名已经区分了,自己修改了替换一下就可以了。
例如:
登录界面:casLoginView.jsp
登录成功:casGenericSuccess.jsp
登出界面:casLogoutView.jsp
十、结束语
花了一下午时间终于写完了,总共十项也算完美了。
现在看来起始利用CAS实现单点登录其实不难,不要畏惧,更不要排斥!
本教程后面的代码部分均来自本博客的wsria-demo项目分支wsria-demo-sso
和本教程相关资料下载:
-
本教程使用的演示程序,点击这里下载
-
使用keytool生成的key和证书,点击这里下载
到此本教程全部结束,希望看完后对你有帮助,如果有帮助还望继续推荐给其他人,有说明意见或者问题请回复或者IM联系我。
分享到:
相关推荐
CAS单点登录服务端部署
CAS5.3.2Docker 部署方案CAS5.3.2Docker 部署方案CAS5.3.2Docker 部署方案
Cas服务端部署 认证采用MD加密方式 只需要修改 deployerConfigContext.xml 中的配置信息即可直接使用
包括CAS服务器端war包和CAS两个客户端war包,用于单点登录cas实例的部署
CAS 是 Central Authentication Service 的缩写 —— 中央认证服务,一种独立开放指令协议,是 Yale 大学发起的一个企业级开源项目,旨在为 Web 应用系统提供一种可靠的 SSO 解决方案。 CAS 支持以下特性: CAS v1, ...
war直接放在tomcat下面运行即可,无须任何配置,访问地址http://127.0.0.1:8081/cas/login
直接可以对cas-server项目进行打不,部署到tomcat,即可使用,记得修改cas-server的数据库连接地址哦 单点登录服务端项目cas-server 单点登录服务端项目cas-server 单点登录服务端项目cas-server 单点登录服务端项目...
[置顶] SSO单点登录系列2:cas客户端和cas服务端交互原理动画图解,cas协议终极分析 http://blog.csdn.net/ae6623/article/details/8848107 目 录 1 引言 4 1.1 摘要 4 1.2 范围 4 1.3 读者对象 4 1.4 关键词 4 2 ...
CAS服务端,可直接部署在tomcat下使用
NULL 博文链接:https://kennylee26.iteye.com/blog/855392
单点登录(Single Sign On , 简称 SSO )...CAS Server 为需要独立部署的 Web 应用。 CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用),包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。
附件我自己整理的cas server源码,可以次基础上根据需求进行二次开发,也可以直接部署使用,通过配置deployerConfigContext.xml文件,可以对用户密码进行加盐加密的md5操作,可以返回用户更多信息的操作。...
cas实现单点登录服务端及客户端,压缩包内提供三个工程,一个cas服务器,两个测试客户端,可同时部署到一个tomcat下,或者分开部署。端口号默认使用的8000
独立部署的cas server端应用程序,实现单点登陆功能。
cas-overlay-template-6.1 服务端代码,文章:记录CAS6.1X Server 部署加Mysql数据源整合详细所用到的代码
从github上下载cas服务端4.2.7的代码在用maven构建war包时候,需要远程下载依赖的jar包,太慢了。这个是其中之一,请将该资源解压到一下目录: 你自己的maven本地库的根目录\org\jasig\cas,例如我解压后我的本地库...
从github上下载cas服务端4.2.7的代码在用maven构建war包时候,需要远程下载依赖的jar包,太慢了。这个是其中之一,请将该资源解压到一下目录: 你自己的maven本地库的根目录\org\jasig\cas,例如我解压后我的本地库...
github上下载cas服务端4.2的CAS项目的时候在用maven构建war包时候,需要远程下载依赖的jar包,在工程中下载太慢啦。请将该资源解压到一下目录: 你自己的maven本地库的根目录\org\jasig\cas,例如我解压后我的本地库...
cas server sso 单点登录服务端,部署起来就能用,而且可以往client推送更多用户信息
cas服务端war包,可以直接在tomcat部署