SSO单点登录系列2:cas客户端和cas服务端交互原理动画图解，cas协议终极分析

太过爱你忘了你带给我的痛 2022-08-01 13:41 264阅读 0赞

想要接近cas单点登录，那么你就首先要理解cas协议

上图：一会上原理分析：（本篇不涵盖cas代理认证模式，代理目前还没用到。）

1）PPT流程图：

一、用户第一次访问web1应用。

![MZFBBz.png][]

![JVNryi.png][]

![muIVN3.png][]![uyiAny.png][]

二、用户第一次访问web2应用。

![rUBbAr.png][]![r6Nfia.png][]

困扰了好久的流程，其实静下进来搜个一二十篇百度上的讲解，集众家之所长，加上自己的理解，不难发现，流程理解下来很是简单。

下面讲一下原理：

![mmMj6n.png][]

2）简易流程图：

一、用户第一次访问web1 应用

![QRrMze.png][]

二、用户第一次访问web2应用

![ve6322.png][]

3）文字流程：

一、用户第一次访问web1 应用

1、Web1的客户端检测到session中无令牌凭证信息，将用户重定向到Cas-server端进行验证。

2、s端检测到传来的请求没有带ST参数，所以跳到Login页面进行用户登录验证。

3、s端认证结束后，生成TGT令牌和随机Ticket-ST，并且在用户的浏览器中写入Cookie-STC，随后让用户的浏览器重定向到Web1应用中，并将随机参数ST带上一起传参过去，之后Web1的cas客户端将检测到此ST参数，发送到server端进行校验，校验成功之后，服务端主动销毁此ST，并继续返回到web1应用中，web1应用此时将令牌信息写入到自己的session中，从而完成用户的单点登录认证，服务端同样的也会用一个Map记录web1加入到单点登录范围内。

4、带上ST参数重定向到web1应用。

5、web1拿到ST参数发送到s端进行校验。

6、校验成功，进入W1应用，w1将令牌凭证TGT写入session，与此同时，完成用户第一次访问应用web1的情形。

二、用户第一次访问web2应用

1、此时，用户第一次访问Web2应用，web2在自己的session中无法找到令牌信息，所以将用户重定向到S端，S端拿到用户的浏览器传来的cookie，从里面读出TGT，生成一个随机的ST，发回w2，w2拿到ST,就立即和S端进行校验，S端校验成功后，立即销毁此ST，并将web2加入到单点登录范围内，用户此时可以在Web2中进行业务操作，web2也同样的会在session中记录此令牌凭证，至此，完成用户的单点登录功能。当用户下次访问web1或者web2的时候，由于各自的session中能够拿到TGT信息，所以，只需要从中读到每次请求时所带的ST参数即可和S端进行交互，验证正确之后达到一站登录，N站访问的SSO效果。

2、w2让用户浏览器带cookie重定向到S端。

3、s端认证结束后，生成TGT令牌和随机Ticket-ST，并且在用户的浏览器中写入Cookie-STC，随后让用户的浏览器重定向到Web1应用中，并将随机参数ST带上一起传参过去，之后Web1的cas客户端将检测到此ST参数，发送到server端进行校验，校验成功之后，服务端主动销毁此ST，并继续返回到web1应用中，web1应用此时将令牌信息写入到自己的session中，从而完成用户的单点登录认证，服务端同样的也会用一个Map记录web1加入到单点登录范围内。

4、w2根据参数ST发回到s端进行校验

5、校验成功，可以访问W2，W2令牌写入session。

4）程序流程

来两段程序玩玩，打开你的火狐谷歌调试器，IE的就算了。

用Tomcat 7 搭载 cas-server 端。

用Tomcat 6 搭载你的web1和web2和web3...

之后我们开始今天的玩法

1.不登陆直接访问client2

2.不登陆直接访问client3

3.登录client2成功后，访问client3（同域 )

4.登录client3成功后，访问client2（同域 )

5.登录client2或者client3成功后，访问client4（不同域）

6.用client2去访问client3 （同域情况下用ajax拿后台的数据过来）（同域 )

7.用client2去访问client4（不同域情况下用ajax+jsonp跨域拿后台数据）（不同域 )

8.你是不是又想到了更疯狂的，来留言实验一把。

实验截图和结果以及调试分析：

测试一：

（1）不登陆直接访问client2

（2）不登陆直接访问client3

client2的web.xml

<filter>
            <filter-name>CAS Filter</filter-name>
            <filter-class>
                edu.yale.its.tp.cas.client.filter.CASFilter
            </filter-class>
            <init-param>
                <param-name>
                    edu.yale.its.tp.cas.client.filter.loginUrl
                </param-name>
                <param-value>
                    http://192.168.168.141:8080/casServer/login
                </param-value>
            </init-param>
            <init-param>
                <param-name>
                    edu.yale.its.tp.cas.client.filter.validateUrl
                </param-name>
                <param-value>
                    http://192.168.168.141:8080/casServer/serviceValidate
                </param-value>
            </init-param>
            <init-param>
                <param-name>
                    edu.yale.its.tp.cas.client.filter.serverName
                </param-name>
                <param-value>192.168.168.141:8080</param-value>
            </init-param>
        </filter>

从中可以看到client2的 域 网址是192.168.168.141:8080，地址是http://192.168.168.141:8080/client2/

client3的web.xml

<filter>
       <filter-name>CAS Filter</filter-name>
       <filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>
         <param-value>http://192.168.168.141:8080/casServer/login</param-value>
       </init-param>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>
         <param-value>http://192.168.168.141:8080/casServer/serviceValidate</param-value>
       </init-param>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.serverName</param-name>
         <param-value>192.168.168.141:8080</param-value>
       </init-param>
     </filter>

从中可以看到client3的域网址是192.168.168.141:8080，地址是http://192.168.168.141:8080/client3/

1.现在打开你的浏览器，抡起袖子疯狂点击我们可怜的web应用--client2，果然，直接跳到了cas的登录界面。下面的cookie里面毛都米有。

![mqyq6z.png][]

测试二：

（3）.登录client2成功后，访问client3（同域 )

（4）.登录client3成功后，访问client2（同域 )

1.好吧，我们输入用户名和密码，点击登录

![VzQnY3.png][]

2.来分析一下cookie。说时迟，那时快，它已经从cas的server端用户验证成功后回来了。。不仅用户验证完成，而且还不忘记拿到ST参数后，又一次发回去然后也顺利回来了。此时已经完成了用户的单点登录。

![ERzuyy.png][]

3.顺利登录成功之后，我们清除一下火狐的网络信息，来直接点击超链接访问client3，

之前的ST，我们记录一下：ST-5-beGeNw5zW0x56vpnmotG-cas01.example.org

此时得到了一个ST ： ST-4-jkFHgkJkvTZVJt22SUNV-cas01.example.org

啧啧，ST果然是不一致的

言归正传，分析一下。

因为我们是在client2里面点击的超链接的形式访问的client3，所以ST参数肯定带过去了，Server端一查，哎呦，你小子有ST，我来检测一下，我靠，居然是正确的ST，好吧，允许你通过，此时，用户神不知鬼不觉，感觉犹如神助一般，进入了client3

4.那么我们来测试一下，直接在成功登录了client2之后，浏览器里输入clint3的网址。

![U7n26b.png][]

![mUvAZr.png][]

从网络分析抓包里我们可以看到，也是这两个请求，和点击了超链接到client3一样的两个请求。。

说明server端已经拿到了用户的浏览器中的cookie，并且生成了ST给client3，client3也已经和server端交互结束，包括验证ST，而这一切，肉眼果然看不出来。

测试三：

（5）登录client2或者client3成功后，访问client4（不同域）

client4的web.xml

<filter>
       <filter-name>CAS Filter</filter-name>
       <filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>
         <param-value>http://192.168.168.141:8080/casServer/login</param-value>
       </init-param>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>
         <param-value>http://192.168.168.141:8080/casServer/serviceValidate</param-value>
       </init-param>
       <init-param>
         <param-name>edu.yale.its.tp.cas.client.filter.serverName</param-name>
         <param-value>192.168.168.141:7777</param-value>
       </init-param>
     </filter>

从中可以看到client2的 域 网址是192.168.168.141:7777，地址是[http://192.168.168.141:7777/client4/][http_192.168.168.141_7777_client4]

![2MbYZb.jpg][]

已经带cookie验证之后，接到ST参数ticket，然后和server端验证结束。完成了client4的登录。

下面我们开始研究ajax异步获取数据的方式，看看异步的情况下，cas有没有失效。

测试四：

（6）用client2去访问client3 （同域情况下用ajax拿后台的数据过来）（同域 )

先登录client2，然后不登陆client3的情况下，用ajax传数据到后台，后天生成json传回前台，这个过程我分析一下。

<script type="text/javascript">
            function validataUser() { 
                $.ajax({
                        type: "POST",
                        url: "http://192.168.168.141:8080/client3/query",
                        dataType: "json",
                        beforeSend: function(XMLHttpRequest){
                            alert("请求前");
                        },
                        success: function (data){ 
                alert("跨域返回数据:" + data.userName);
                            $("#user").val(data.userName);
                        },
            complete: function(XMLHttpRequest, textStatus){
                                     alert("完成");
                        },
            error: function(){
                     alert("错误");
                        }
                });
            }     
       </script>

ajax虽然是异步的，但是也算是发了一个请求，跟我们直接登录了client2之后，打开新的标签页，直接输入网址是一个效果（ 同测试二中的第4步 ），client3会在自己的session中检测有没有令牌凭证，如果没有，直接跑到cas-server端，server端拿到cookie，判断已经登录，就生成ST给client3，然后client3拿着这个ST去cas-server端校验，验证成功后，响应用户的ajax请求，把数据返回过来。

![YvI3Iz.png][]

![meueq2.png][]

测试五:

(7)用client2去访问client4（不同域情况下用ajax+jsonp跨域拿后台数据） （不同域 )

<script type="text/javascript">
                function validataUser() { 
                    $.ajax({
                            type: "POST",
                            url: "http://192.168.168.141:7777/client4/query",
                            dataType: "jsonp",
                            jsonp:"callback",
                            //url: "http://192.168.168.141:8080/client3/query",
                            //dataType: "json",
                            beforeSend: function(XMLHttpRequest){
                                alert("请求前");
                            },
                            success: function (data){ 
                alert("跨域返回数据:" + data.userName);
                                $("#user").val(data.userName);
                            },
                               
                complete: function(XMLHttpRequest, textStatus){
                                         alert("完成");
                            },
                error: function(){
                         alert("错误");
                            }
                    });
                }     
           </script>

![RrANze.png][]

不知不觉就又是一趟流程，client4此时也被记录到cas-server端，加入单点登录的范围。下次再来的时候就直接在client4的客户端过滤器里面检测session即可。

至此，已经彻底测试了7种情况，跨域和不跨域都有所涉及。下篇我们将开始对cas-server端的征程，包括对服务端常用核心源码的研究以及关于多数据库之间的配置，之后便是DIY自定义登录页面。

2013年4月25日9:52:11

qq 394263788

csdn上面排版不给力，上百度截图和链接：想看着舒服的去看吧。

![EjIJru.png][]

[MZFBBz.png]: /images/20220731/bec23299d50d4f0abf4d4e5390113b0a.png
[JVNryi.png]: /images/20220731/a03b592a65a540ecb54aebf511a7eb3e.png
[muIVN3.png]: http://img1.tuicool.com/muIVN3.png
[uyiAny.png]: /images/20220731/3ae39db80ad0473d9daaac0af8c814dd.png
[rUBbAr.png]: http://img2.tuicool.com/rUBbAr.png
[r6Nfia.png]: /images/20220731/249a63fd5a8b40f5bf32b19e5adb90e1.png
[mmMj6n.png]: /images/20220731/8951df2f53be43ffa03219b6173b0798.png
[QRrMze.png]: /images/20220731/27fe16cde9fa4862bd95ca58e17b481e.png
[ve6322.png]: /images/20220731/018ec62d4b9d4eb0893132ea202b5e41.png
[mqyq6z.png]: /images/20220731/5bbe12d2804a45a5b571bef1a78abe3c.png
[VzQnY3.png]: /images/20220731/e34a089f41a24cad9f85d3945c40bf0b.png
[ERzuyy.png]: /images/20220731/d072da3f968640d8bfef5dd1f7d2b61c.png
[U7n26b.png]: /images/20220731/2c2fe9dd95c944cdb846ee38acba77ec.png
[mUvAZr.png]: /images/20220731/34c3e9292c0145e1a84d644ed5f10b97.png
[http_192.168.168.141_7777_client4]: http://192.168.168.141:7777/client4/
[2MbYZb.jpg]: /images/20220731/a1dbcc971e5b4de18d70cd793293b742.png
[YvI3Iz.png]: /images/20220731/490bbed7012d4f55a11133143994ebef.png
[meueq2.png]: /images/20220731/71d67ef8aa5a4f2396f0fc325287f234.png
[RrANze.png]: /images/20220731/04328f19321e46108b8af7dca1a483b7.png
[EjIJru.png]: /images/20220731/7b0ae9cd3f0f4c96ad93f9e21dd82cd6.png

发表评论取消回复

表情：

评论列表（有 0 条评论，264人围观）

还没有评论，来说两句吧...

相关阅读

相关 SpringBoot 搭建CAS 客户端和CAS 服务端

第一步：搭建CAS5.3 服务端 Github 下载CAS5.3 服务端版本：[https://github.com/apereo/cas-overlay-template/

╰+攻爆jí腚メ/ 2023年10月18日 18:09/ 0 赞/ 160 阅读

相关 springboot集成CAS单点登录客户端

1. springboot项目pom.xml中添加cas客户端依赖包 <dependency> <groupId>org.jasig.cas.c

雨点打透心脏的1/2处/ 2023年05月30日 08:44/ 0 赞/ 6 阅读

相关 CAS实现SSO单点登录原理

1. CAS 简介 1.1. What is CAS ？ CAS （ Central Authentication Service ）是 Yale 大

ゞ浴缸里的玫瑰/ 2023年02月20日 03:29/ 0 赞/ 30 阅读

相关 CAS实现SSO单点登录原理

1.CAS CAS （ Central Authentication Service ）是 Yale 大学发起的一个企业级的、开源的项目，旨在为 Web

╰+攻爆jí腚メ/ 2022年08月07日 11:44/ 0 赞/ 279 阅读

相关 CAS实现SSO单点登录原理

CAS实现SSO单点登录原理 2013-04-08 | 所属分类：Cas SSO 原理 1. CAS 简介 1.1. What is CA

悠悠/ 2022年08月06日 11:27/ 0 赞/ 261 阅读

相关 SSO单点登录系列2:cas客户端和cas服务端交互原理动画图解，cas协议终极分析

想要接近cas单点登录，那么你就首先要理解cas协议上图：一会上原理分析：（本篇不涵盖cas代理认证模式，代理目前还没用到。） 1）PPT流程图：

太过爱你忘了你带给我的痛/ 2022年08月01日 13:41/ 0 赞/ 265 阅读

相关 CAS实现SSO单点登录原理

1. CAS 简介 1.1. What is CAS ？ CAS （ Central Authentication Service ）是 Yale 大学发起的一个企

Dear 丶/ 2022年07月10日 04:28/ 0 赞/ 314 阅读

相关 CAS（五）CAS客户端单点退出实现

环境要求 JDK 8+ CAS 5.2 tomcat 8+ 步骤一、搭建CAS服务器 --> [CAS（一）搭建CAS - server服

Love The Way You Lie/ 2022年04月15日 04:24/ 0 赞/ 1116 阅读

相关 CAS单点登录（客户端、服务端）搭建

一、单点登录简介单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次

港控/mmm°/ 2022年04月08日 11:40/ 0 赞/ 1406 阅读

相关单点登录 sso -- cas CAS 原理流程分析

Yelu大学研发的CAS(Central Authentication Server) 下面就以耶鲁大学研发的CAS为分析依据，分析其工作原理。首先看一下最上层的项目部署图：

素颜马尾好姑娘i/ 2021年10月24日 05:22/ 0 赞/ 502 阅读