第 9 章 单点登录

首先要添加对cas的插件和cas客户端的依赖库。因为我们使用了maven2，所以只需要在pom.xml中添加一个依赖即可。

<dependency>
  <groupId>org.springframework.security</groupId>
  <artifactId>spring-security-cas-client</artifactId>
  <version>2.0.4</version>
</dependency>
            

如果有人很不幸的没有使用maven2，那么就需要手工把去下面这些依赖库了。

spring-security-cas-client-2.0.4.jar
spring-dao-2.0.8.jar
aopalliance-1.0.jar
cas-client-core-3.1.3.jar
            

大家可以去spring和ja-sig的网站去寻找这些依赖库。

首先修改http部分。

<http auto-config='true' entry-point-ref="casProcessingFilterEntryPoint">
    <intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
    <intercept-url pattern="/index.jsp" access="ROLE_USER" />
    <intercept-url pattern="/" access="ROLE_USER" />
    <logout logout-success-url="/cas-logout.jsp"/>
</http>
            

然后要提供userService和authenticationManager，二者会被注入到cas的类中用来进行登录之后的用户授权。

<user-service id="userService">
    <user name="admin" password="admin" authorities="ROLE_USER, ROLE_ADMIN" />
    <user name="user" password="user" authorities="ROLE_USER" />
</user-service>

<authentication-manager alias="authenticationManager"/>
            

创建cas的filter, entryPoint, serviceProperties和authenticationProvider。

<beans:bean id="casProcessingFilter" class="org.springframework.security.ui.cas.CasProcessingFilter">
    <custom-filter after="CAS_PROCESSING_FILTER"/>
    <beans:property name="authenticationManager" ref="authenticationManager"/>
    <beans:property name="authenticationFailureUrl" value="/casfailed.jsp" />
    <beans:property name="defaultTargetUrl" value="/" />
</beans:bean>

<beans:bean id="casProcessingFilterEntryPoint"
            class="org.springframework.security.ui.cas.CasProcessingFilterEntryPoint">
    <beans:property name="loginUrl" value="https://localhost:9443/cas/login" />
    <beans:property name="serviceProperties" ref="casServiceProperties" />
</beans:bean>

<beans:bean id="casServiceProperties" class="org.springframework.security.ui.cas.ServiceProperties">
    <beans:property name="service" value="https://localhost:8443/ch09/j_spring_cas_security_check"/>
    <beans:property name="sendRenew" value="false"/>
</beans:bean>

<beans:bean id="casAuthenticationProvider"
            class="org.springframework.security.providers.cas.CasAuthenticationProvider">
    <custom-authentication-provider />
    <beans:property name="userDetailsService" ref="userService" />
    <beans:property name="serviceProperties" ref="casServiceProperties" />
    <beans:property name="ticketValidator">
        <beans:bean class="org.jasig.cas.client.validation.Cas20ServiceTicketValidator">
            <beans:constructor-arg index="0" value="https://localhost:9443/cas" />
        </beans:bean>
    </beans:property>
    <beans:property name="key" value="ch09" />
</beans:bean>
            

经过了这么多的配置，我们终于把cas功能添加到spring security中了，看着一堆堆一串串的配置文件，好似又回到了acegi的时代，可怕啊。

首先生成一个key store。

keytool -genkey -keyalg RSA -dname "cn=localhost,ou=family168,o=www.family168.com,l=china,st=beijing,c=cn" -alias server -keypass password -keystore server.jks -storepass password
            

我们会得到一个名为server.jks的文件，它的密码是password，注意cn=localhost部分，这里必须与cas服务器的域名一致，而且不能使用ip，因为我们是在本地localhost测试cas，所以这里设置的就是cn=localhost，在实际生产环境中使用时，要将这里配置为cas服务器的实际域名。

导出密钥

keytool -export -trustcacerts -alias server -file server.cer -keystore  server.jks -storepass password
            

将密钥导入JDK的cacerts

keytool -import -trustcacerts -alias server -file server.cer -keystore  D:/apps/jdk1.5.0_15/jre/lib/security/cacerts -storepass password
            

这里需要把使用实际JDK的安装路径，我们要把密钥导入到JDK的cacerts中。

我们在ch09/certificates/下放了一个genkey.bat，这个批处理文件中已经包含了上述的所有命令，运行它就可以生成我们所需的密钥。

jetty的配置可参考ch09中的pom.xml文件。

  <connectors>
    <connector implementation="org.mortbay.jetty.security.SslSocketConnector">
      <port>9443</port>
      <keystore>../certificates/server.jks</keystore>
      <password>password</password>
      <keyPassword>password</keyPassword>
      <truststore>../certificates/server.jks</truststore>
      <trustPassword>password</trustPassword>
      <wantClientAuth>true</wantClientAuth>
      <needClientAuth>false</needClientAuth>
    </connector>
  </connectors>
  <systemProperties>
    <systemProperty>
      <name>javax.net.ssl.trustStore</name>
      <value>../certificates/server.jks</value>
    </systemProperty>
    <systemProperty>
      <name>javax.net.ssl.trustStorePassword</name>
      <value>password</value>
    </systemProperty>
  </systemProperties>
            

要运行支持SSL的tomcat，把server.jks文件放到tomcat的conf目录下，然后把下面的连接器添加到server.xml文件中。

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" scheme="https" secure="true"
            clientAuth="true" sslProtocol="TLS"
            keystoreFile="${catalina.home}/conf/server.jks"
            keystoreType="JKS" keystorePass="password"
            truststoreFile="${catalina.home}/conf/server.jks"
            truststoreType="JKS" truststorePass="password"
/>
            

如果你希望客户端没有提供证书的时候SSL链接也能成功，也可以把clientAuth设置成want。