所谓单点登录，SSO(Single Sign On)，就是把N个应用的登录系统整合在一起，这样一来无论用户登录了任何一个应用，都可以直接以登录过的身份访问其他应用，不用每次访问其他系统再去登陆一遍了。
Spring Security没有实现自己的SSO，而是整合了耶鲁大学单点登陆(JA-SIG)，这是当前使用很广泛的一种SSO实现，它是基于中央认证服务CAS(Center Authentication Service)的结构实现的，可以访问它们的官方网站获得更详细的信息http://www.jasig.org/cas。
在了解过这些基础知识之后，我们可以开始研究如何使用Spring Security实现单点登录了。
从JA-SIG的官方网站下载cas-server，本文写作时的最新稳定版为3.3.2。http://www.ja-sig.org/downloads/cas/cas-server-3.3.2-release.zip。
将下载得到的cas-server-3.3.2-release.zip文件解压后，可以得到一大堆的目录和文件，我们这里需要的是modules目录下的cas-server-webapp-3.3.2.war。
把cas-server-webapp-3.3.2.war放到ch09\server目录下，然后执行run.bat就可启动CAS中央认证服务器。
我们已在pom.xml中配置好了启用SSL所需的配置，包括使用的server.jks和对应密码，之后我们可以通过https://localhost:9443/cas/login访问CAS中央认证服务器。
默认情况下，只要输入相同的用户名和密码就可以登陆系统，比如我们使用user/user进行登陆。
这就证明中央认证服务器已经跑起来了。下一步我们来配置Spring Security，让它通过中央认证服务器进行登录。
首先修改http部分。
<http auto-config='true' entry-point-ref="casProcessingFilterEntryPoint"><intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" /> <intercept-url pattern="/index.jsp" access="ROLE_USER" /> <intercept-url pattern="/" access="ROLE_USER" /> <logout logout-success-url="/cas-logout.jsp"/>
</http>
|
|
添加一个entry-point-ref引用cas提供的casProcessingFilterEntryPoint，这样在验证用户登录时就用上cas提供的机制了。 |
|
|
修改注销页面，将注销请求转发给cas处理。 <a href="https://localhost:9443/cas/logout">Logout of CAS</a> |
然后要提供userService和authenticationManager，二者会被注入到cas的类中用来进行登录之后的用户授权。
<user-service id="userService">
|
|
为了演示方便，我们将用户信息直接写在了配置文件中，之后cas的类就可以通过id获得userService，以此获得其中定义的用户信息和对应的权限。 |
|
|
对于authenticationManager来说，我们没有创建一个新实例，而是使用了“别名”（alias），这是因为在之前的namespace配置时已经自动生成了authenticationManager的实例，cas只需要知道这个实例的别名就可以直接调用。 |
创建cas的filter, entryPoint, serviceProperties和authenticationProvider。
<beans:bean id="casProcessingFilter" class="org.springframework.security.ui.cas.CasProcessingFilter">
<custom-filter after="CAS_PROCESSING_FILTER"/>
<beans:property name="authenticationManager" ref="authenticationManager"/>
<beans:property name="authenticationFailureUrl" value="/casfailed.jsp" />
<beans:property name="defaultTargetUrl" value="/" />
</beans:bean>
<beans:bean id="casProcessingFilterEntryPoint"
class="org.springframework.security.ui.cas.CasProcessingFilterEntryPoint">
<beans:property name="loginUrl" value="https://localhost:9443/cas/login" />
<beans:property name="serviceProperties" ref="casServiceProperties" />
</beans:bean>
<beans:bean id="casServiceProperties" class="org.springframework.security.ui.cas.ServiceProperties">
<beans:property name="service" value="https://localhost:8443/ch09/j_spring_cas_security_check"/>
<beans:property name="sendRenew" value="false"/>
</beans:bean>
<beans:bean id="casAuthenticationProvider"
class="org.springframework.security.providers.cas.CasAuthenticationProvider">
<custom-authentication-provider />
<beans:property name="userDetailsService" ref="userService" />
<beans:property name="serviceProperties" ref="casServiceProperties" />
<beans:property name="ticketValidator">
<beans:bean class="org.jasig.cas.client.validation.Cas20ServiceTicketValidator">
<beans:constructor-arg index="0" value="https://localhost:9443/cas" />
</beans:bean>
</beans:property>
<beans:property name="key" value="ch09" />
</beans:bean>
|
|
casProcessingFilter最终是要放到Spring security的安全过滤器链中才能发挥作用的。这里使用的customer-filter就会把它放到CAS_PROCESSING_FILTER位置的后面。 这个位置具体是在LogoutFilter和AuthenticationProcessingFilter之间，这样既不会影响注销操作，又可以在用户进行表单登陆之前拦截用户请求进行cas认证了。 |
|
|
当用户尚未登录时，会跳转到这个cas的登录页面进行登录。 |
|
|
用户在cas登录成功后，再次跳转回原系统时请求的页面。 CasProcessingFilter会处理这个请求，从cas获得已登录的用户信息，并对用户进行授权。 |
|
|
使用custom-authentication-provider之后，Spring Security其他的权限模块会从这个bean中获得权限验证信息。 |
|
|
系统需要验证当前用户的tickets是否有效。 |
经过了这么多的配置，我们终于把cas功能添加到spring security中了，看着一堆堆一串串的配置文件，好似又回到了acegi的时代，可怕啊。
下面运行系统，尝试使用了cas的权限控制之后有什么不同。
首先要保证cas中央认证服务器已经启动了。子系统的pom.xml中也已经配置好了SSL，所以可以进入ch09执行run.bat启动子系统。
现在直接访问http://localhost:8080/ch09/不再会弹出登陆页面，而是会跳转到cas中央认证服务器上进行登录。
输入user/user后进行登录，系统不会做丝毫的停留，直接跳转回我们的子系统，这时我们已经登录到系统中了。
我们再来试试注销，点击logout会进入cas-logout.jsp。
在此点击Logout of CAS会跳转至cas进行注销。
现在我们完成了Spring Security中cas的配置，enjoy it。
实例在ch103。