JEESZ分布式框架單點(diǎn)登錄集成方案
第一節(jié)：單點(diǎn)登錄簡介
第一步：了解單點(diǎn)登錄
SSO主要特點(diǎn)是: SSO應(yīng)用之間使用Web協(xié)議(如HTTPS) 复旬，并且只有一個(gè)登錄入口.
SSO的體系中有下面三種角色:
1) User(多個(gè))
2) Web應(yīng)用(多個(gè))
3) SSO認(rèn)證中心(一個(gè))
SSO實(shí)現(xiàn)包含以下三個(gè)原則:
1) 所有的登錄都在 SSO 認(rèn)證中心進(jìn)行侧戴。
2) SSO認(rèn)證中心通過一些方法來告訴Web應(yīng)用當(dāng)前訪問用戶究竟是不是通過認(rèn)證的用戶.
3) SSO認(rèn)證中心和所有的 Web 應(yīng)用建立一種信任關(guān)系.
CAS的基本原理CAS(Central Authentication Service) 是 Yale 耶魯大學(xué)發(fā)起的構(gòu)建Web SSO的Java開源項(xiàng)目霜第。
1.CAS術(shù)語解釋:
SSO－Single Sign On單點(diǎn)登錄
TGT－Ticket Granting Ticket 用戶身份認(rèn)證憑證
ST－Service Ticket服務(wù)許可憑證
TGC－Ticket Granting Cookie存放用戶身份認(rèn)證憑證的cookie.
第二步：了解單點(diǎn)登錄體系結(jié)構(gòu)
1)?? ?CAS Server負(fù)責(zé)完成對用戶信息的認(rèn)證，需要單獨(dú)部署呜投，CAS Server會處理用戶名/密碼等憑證(Credentials).
2) ? ?CAS Client部署在客戶端，當(dāng)有對本地Web應(yīng)用受保護(hù)資源的訪問請求，并且需要對請求方進(jìn)行身份認(rèn)證统屈，重定向到CAS Server進(jìn)行認(rèn)證.
第三步：單點(diǎn)登錄環(huán)境準(zhǔn)備工作
1)?? ?cas-server-3.5.0-release.zip（CAS服務(wù)端）
2)?? ?cas-client-3.3.3-release.zip（CAS客戶端）
3)?? ?apache-tomcat-7.0.40
4)?? ?cas-client-core-3.2.1.jar
5)?? ?cas-server-core-3.5.0.jar
6)?? ?cas-server-support-jdbc-3.5.0.jar
第二節(jié)：單點(diǎn)登錄環(huán)境搭建與部署
第一步：環(huán)境部署
1.?? ?通過Java JDK生成證書三部曲
證書對于實(shí)現(xiàn)此單點(diǎn)登錄非常之重要，證書是服務(wù)器端和客戶端安全通信的憑證牙躺，本教程只是演示愁憔，所有用了JDK自帶的證書生成工具keytool。
當(dāng)然在實(shí)際項(xiàng)目中你可以到專門的證書認(rèn)證中心購買證書孽拷。
中文官方網(wǎng)站：http://www.verisign.com/cn/
使用JDK自帶的keytool生成證書
第一步生成證書:
keytool -genkey -alias mycacerts -keyalg RSA -keystore C:/common/keys/keycard
注意：輸入相關(guān)信息用于生成證書.其中名字與姓氏這一最好寫你的 域名吨掌，如果在單擊測試你可以在C:\Windows\System32\drivers\etc\hosts文件中映射一個(gè)虛擬域名，
注意不要寫IP脓恕。
第二步導(dǎo)出證書:
keytool -export -file C:/common/keys/keycard.crt -alias mycacerts -keystore C:/common/keys/keycard
第三步導(dǎo)入到JDK安裝目錄證書:
keytool -import -keystore C:/"Program Files"/Java/jdk1.6.0_32/jre/lib/security/cacerts -file C:/common/keys/keycard.crt -alias mycacerts
2.?? ?解壓cas-server-3.5.0-release.zip文件膜宋，
在cas-server-3.5.0-release\cas-server-3.5.0\modules目錄下找到cas-server-webapp-3.5.0.war文件并命名為cas.war，并復(fù)制到在Tomcat 根目錄的webapps目錄下炼幔，
如下圖：
3.?? ?修改host文件（C:\Windows\System32\drivers\etc）hosts文件中添加添加以下配置
127.0.0.1???????? jeesz.cn (配置自己的域名.)
注意：如果想在一臺PC機(jī)上模擬這個(gè)單點(diǎn)登錄秋茫，就必須域名重定向，如果是多臺ＰＣ機(jī)乃秀，可以不配置此項(xiàng)肛著，下文有用到j(luò)eesz.cn，可以用相應(yīng)ＰＣ機(jī)的ＩＰ代替
4.?? ?修改Tomcat文件下的server.xml(apache-tomcat-7.0.40\conf\server.xml) 添加以下內(nèi)容：
在server.xml文件中把
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />
修改成如下：
port="8443"
protocol="org.apache.coyote.http11.Http11Protocol"
maxThreads="150"
SSLEnabled="true"
scheme="https"
secure="true"
clientAuth="false"
sslProtocol="TLS"
keystoreFile="C:/common/keys/keycard"
keystorePass="xxxxxx "??????????????
ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"
/>
5.啟動Tomcat服務(wù)环形，查看信息策泣，（如果有報(bào)錯(cuò)，可以根據(jù)信息查找錯(cuò)誤）抬吟，打開瀏覽器萨咕，輸入http://jeesz.cn:8080/cas如果出現(xiàn)以下界面，則代表CAS服務(wù)端配置成功火本。
注：這個(gè)是最簡單的CAS服務(wù)危队，只要輸入的用戶名跟密碼一樣聪建，就可以正常登陸，在我們實(shí)際開發(fā)中茫陆，這個(gè)驗(yàn)證因?yàn)楦鷶?shù)據(jù)庫作比較金麸，接下來，我們就配置數(shù)據(jù)庫校驗(yàn)簿盅。
第二步：配置數(shù)據(jù)庫驗(yàn)證
1.在apache-tomcat-7.0.2\webapps\cas\WEB-INF目錄下找到deployerConfigContext.xml文件挥下，找到如下代碼：
添加下面代碼：
2.增加數(shù)據(jù)源dataSource，
在deployerConfigContext.xml桨醋，（跟上面同一個(gè)文件）找到
棚瘟，在下面添加如下代碼：
com.mysql.jdbc.Driver
jdbc:mysql://127.0.0.1:3306/sso
root
3.數(shù)據(jù)庫添加用戶表及數(shù)據(jù)（這里用的mysql），比如在mysql數(shù)據(jù)庫中有t_user表
4.增加jar包, cas-client-core-3.2.1.jar喜最、cas-server-core-3.5.0.jar偎蘸、cas-server-support-jdbc-3.5.0.jar包拷貝到apache-tomcat-7.0.2\webapps\cas\WEB-INF\lib目錄下。
5.重啟Tomcat瞬内，打開瀏覽器迷雪，輸入http://jeesz.cn:8080/，輸入數(shù)據(jù)庫里的用戶名和密碼虫蝶，如果出現(xiàn)如下界面章咧，則配置成功。
現(xiàn)在我們的CAS服務(wù)端已經(jīng)配置好了秉扑，接下來慧邮，我們配置客戶端
第三節(jié)：配置自己的Web工程（客戶端）
1.在host文件下调限，添加如下代碼：
127.0.0.1????????? www.sso1.com
127.0.0.1????????? www.sso2.com
注意：這個(gè)網(wǎng)址最好不要用互聯(lián)網(wǎng)已經(jīng)存在的域名舟陆，否則你將無法訪問該地址。
如果想在一臺PC機(jī)上模擬這個(gè)單點(diǎn)登錄耻矮，就必須域名重定向秦躯，如果是多臺ＰＣ機(jī)，可以不配置此項(xiàng)裆装，下文有用到www.sso1.com踱承，www.sso2.com，可以用相應(yīng)ＰＣ機(jī)的ＩＰ代替
2.在Tomcat 根目錄下創(chuàng)建一個(gè)sso1,sso2目錄哨免。如下如：
2在eclipse新建兩個(gè)web工程茎活，分別為sso1,sso2。
3. 在自己的Web工程里加入cas-client-core.jar琢唾，commons-logging-1.1.jar载荔，（解壓cas-client-3.2.0-release.zip，在cas-client-3.2.0-release.zip\cas-client-3.2.0\modules采桃，找到該JAR包）
分別加入到sso1,sso2工程的lib里懒熙。
4.修改sso1下的web.xml丘损。添加如下代碼：
org.jasig.cas.client.session.SingleSignOutHttpSessionListener
SingleSignOutFilter
org.jasig.cas.client.session.SingleSignOutFilter
SingleSignOutFilter
/*
CASValidationFilter
org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
casServerUrlPrefix
serverName
useSession
true
exceptionOnValidationFailure
false
redirectAfterValidation
true
CASValidationFilter
/*
CASFilter
org.jasig.cas.client.authentication.AuthenticationFilter
casServerLoginUrl
https://jeesz.cn:8443/cas/login;
serverName
CASFilter
/*
CASHttpServletRequestWrapperFilter
org.jasig.cas.client.util.HttpServletRequestWrapperFilter
CASHttpServletRequestWrapperFilter
/*
CASAssertionThreadLocalFilter
org.jasig.cas.client.util.AssertionThreadLocalFilter
CASAssertionThreadLocalFilter
/*
SSO4InvokeContextFilter
com.common.core.busi.other.filter.SSO4InvokeContextFilter
SSO4InvokeContextFilter
/*
5.修改sso2下的web.xml。添加如下代碼：
org.jasig.cas.client.session.SingleSignOutHttpSessionListener
SingleSignOutFilter
org.jasig.cas.client.session.SingleSignOutFilter
SingleSignOutFilter
/*
CASValidationFilter
org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
casServerUrlPrefix
serverName
useSession
true
exceptionOnValidationFailure
false
redirectAfterValidation
true
CASValidationFilter
/*
CASFilter
org.jasig.cas.client.authentication.AuthenticationFilter
casServerLoginUrl
https://jeesz.cn:8443/cas/login;
serverName
CASFilter
/*
CASHttpServletRequestWrapperFilter
org.jasig.cas.client.util.HttpServletRequestWrapperFilter
CASHttpServletRequestWrapperFilter
/*
CASAssertionThreadLocalFilter
org.jasig.cas.client.util.AssertionThreadLocalFilter
CASAssertionThreadLocalFilter
/*
SSO4InvokeContextFilter
com.common.web.filter.SSO4InvokeContextFilter
SSO4InvokeContextFilter
/*
6.編輯sso1,sso2 index.jsp頁面,復(fù)制如下代碼：
sso1 index.jsp:
這個(gè)是www.sso1.com
你好我是sso1頁面:
<%= request.getRemoteUser()== null ? "null" : request.getRemoteUser() %>
Sso2 index.jsp:
這個(gè)是www.sso2.com
你好我是sso2頁面:
<%= request.getRemoteUser()== null ? "null" : request.getRemoteUser() %>
7.通過eclipse發(fā)布到Tomcat服務(wù)器上去工扎。找到Tomcat徘钥，webapps下的sso1,sso2文件夾，分別復(fù)制sso1和sso2下面的所有文件肢娘，找到Tomcat根目錄下的sso1,sso2(就是我們前面步驟新建的目錄)呈础，在sso1,sso2下新建ROOT目錄，把剛剛復(fù)制的文件粘貼橱健。
配置Tomcat 下server.xml文件猪落，加入如下代碼：
8.重啟Tomcat，打開瀏覽器輸入網(wǎng)址：www.sso1.com:8080畴博，輸入用戶名與密碼笨忌，如果出現(xiàn)以下信息，則成功
在瀏覽器上輸入www.sso1.com:8080俱病，你會發(fā)現(xiàn)跳回到登錄頁面官疲，不要擔(dān)心。打開ticketGrantingTicketCookieGenerator.xml路徑在apache-tomcat-7.0.40\cas\ROOT\WEB-INF\spring-configuration亮隙。找到p:cookieSecure="true"途凫，將其修改為p:cookieSecure="false"，重啟Tomcat溢吻，測試一下维费。
注：我們以上步驟返回的只有一個(gè)用戶名，CAS服務(wù)器默認(rèn)返回該信息促王。
第是節(jié)：修改單點(diǎn)登錄默認(rèn)界面
第一步：找到它自己的頁面
打開cas工程犀盟，找到G:\SoftWare\tomcat\apache-tomcat-7.0.2\apache-tomcat-7.0.2\webapps\cas\WEB-INF\view\jsp\default這個(gè)目錄，將其復(fù)制一份重命名放在G:\SoftWare\tomcat\apache-tomcat-7.0.2\apache-tomcat-7.0.2\webapps\cas\WEB-INF\view\jsp\目錄下蝇狼，
第二步：修改默認(rèn)登錄頁面
將其命名為mydefalut如下圖：
然后將apache-tomcat-7.0.2\webapps\cas\WEB-INF\classes
目錄下的default_views.properties復(fù)制一份阅畴，重命名為mydefault_views.properties。修改里面的內(nèi)容迅耘，將所有里面的路徑中的default改成mydefault贱枣。然后修改WEB-INF下的cas.properties將里面的cas.viewResolver.basename后面的值修改成mydefault_views即：
cas.viewResolver.basename=mydefault_views
如果要修改登錄界面，只需要修改casLoginView.jsp即可颤专。
第五節(jié)：單點(diǎn)登出配置
第一步：配置單點(diǎn)登錄監(jiān)聽器和過濾器
1.Tomcat的sso1,sso2的工程里纽哥，在web.xml里分別添加一下代碼：
org.jasig.cas.client.session.SingleSignOutHttpSessionListener
CAS Single Sign Out Filter
org.jasig.cas.client.session.SingleSignOutFilter
CAS Single Sign Out Filter
/*
注意：這些代碼應(yīng)該放在web.xml文件其他過濾器的最前面。
2.在sso1,sso2的index.jsp頁面添加以下代碼：
http://jeesz.cn:8080/logout">單點(diǎn)退出
3.重啟Tomcat栖秕，訪問http://jeesz.cn:8080/點(diǎn)擊單點(diǎn)退出春塌，如果成功，就會出現(xiàn)如下界面：
一般注銷是跳到原項(xiàng)目的登錄頁面，所以我們需要對CAS做如下配置：
1.?? ?修改服務(wù)端cas-servlet.xml配置（apache-tomcat-7.0.40\cas\ROOT\WEB-INF）摔笤，找到
增加屬性 p:followServiceRedirects="true"
2.修改客戶端够滑，sso1,sso2 index.jsp文件將原來的單點(diǎn)登出的URL修改成：
Sso1:http://jeesz.cn:8080/logout?service=http://www.sso1.com:8080
Sso2:http://jeesz.cn:8080/logout?service=http://www.sso2.com:8080
重啟Tomcat，測試正常吕世。
第六節(jié)：多項(xiàng)目集成單點(diǎn)登錄配置
第一步：單點(diǎn)登錄系統(tǒng)與其他項(xiàng)目集成
在WEB 項(xiàng)目中的WEB-INF目錄下的web.xml文件彰触，添加以下配置.
org.jasig.cas.client.session.SingleSignOutHttpSessionListener
SingleSignOutFilter
org.jasig.cas.client.session.SingleSignOutFilter
SingleSignOutFilter
/*
CASValidationFilter
org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter
casServerUrlPrefix
serverName
useSession
true
exceptionOnValidationFailure
false
redirectAfterValidation
true
CASValidationFilter
/*
CASFilter
org.jasig.cas.client.authentication.AuthenticationFilter
casServerLoginUrl
https://jeesz.cn:8443/cas/login;
serverName
http:// www.sso3.com:6060
CASFilter
/*
CASHttpServletRequestWrapperFilter
org.jasig.cas.client.util.HttpServletRequestWrapperFilter
CASHttpServletRequestWrapperFilter
/*
CASAssertionThreadLocalFilter
org.jasig.cas.client.util.AssertionThreadLocalFilter
CASAssertionThreadLocalFilter
/*
SSO4InvokeContextFilter
com.common.web.filter.SSO4InvokeContextFilter
SSO4InvokeContextFilter
/*
當(dāng)sso驗(yàn)證完成之后，客戶端系統(tǒng)需要接收sso系統(tǒng)返回的結(jié)果時(shí)命辖，需要定義一個(gè)過濾器獲取返回結(jié)果况毅，然后針對返回結(jié)果做相關(guān)處理.
注意：如果不需要做處理時(shí)，此處Filter也可以不用定義.
package com.common.web.filter;
import java.io.IOException;
import java.util.Date;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import org.jasig.cas.client.util.AssertionHolder;
import org.springframework.web.context.WebApplicationContext;
import org.springframework.web.context.support.WebApplicationContextUtils;
import com.common.base.pbi.CommonConstants;
import com.common.base.util.DateUtil;
import com.common.base.util.IDUtil;
import com.common.base.util.IPUtil;
import com.common.base.util.UserUtil;
import com.common.core.busi.historylogin.manager.HistoryLoginManager;
import com.common.core.busi.login.manager.LoginManager;
import com.common.entity.common.AbstractEntity;
import com.common.entity.historylogin.HistoryLoginEntity;
import com.common.entity.user.UserEntity;
/**
* 當(dāng)成功登錄SSO系統(tǒng)時(shí)將會返回登錄的userid根據(jù)此userid建立session會話;
* @ClassName: SessionFilter
* @Description: TODO(這里用一句話描述這個(gè)類的作用)
*@authorjeesz
*@date2015-10-01
*
*/
public class SSO4InvokeContextFilter implements Filter{
private final static Log log = LogFactory.getLog(SSO4InvokeContextFilter.class);
private WebApplicationContext applicationContext;
public SSO4InvokeContextFilter() {
super();
}
/**
* 過濾器注銷時(shí)尔艇，觸發(fā)此方法;
*/
public void destroy() {
//暫時(shí)不做任何處理;
}
/**
* 根據(jù)用戶id獲取用戶信息并且把用戶信息放入session會話中;
*@Title: doFilter
* @Description: TODO(這里用一句話描述這個(gè)方法的作用)
* @Params
* @throws
*/
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest)req;
HttpServletResponse response = (HttpServletResponse)res;
HttpSession session =? request.getSession();
//從session中獲取登陸用戶;
Object userObject = session.getAttribute(CommonConstants.USER_INFO_SESSION);
if(userObject == null){
//獲取用戶名;
String userName = AssertionHolder.getAssertion().getPrincipal().getName();
LoginManager loginManager = applicationContext.getBean(LoginManager.class);
UserEntity userEntity = loginManager.loginByUserName(userName);
session.setAttribute(CommonConstants.USER_INFO_SESSION,userEntity);
session.setAttribute(CommonConstants.IS_SYSTEM_ADMIN,userEntity.getUserType()==1?true:false);
UserUtil.setLoginUserInfo(userEntity);
//根據(jù)用戶名查詢出用戶信息尔许，并放入session中;
log.info("UserName:["+userName +"]登陸成功，客戶端IP地址為["+IPUtil.getIpAddr(request)+"]终娃，登陸時(shí)間為["+DateUtil.dateToString(new Date())+"]");
//添加登錄記錄;
HistoryLoginEntity historyLoginEntity = new HistoryLoginEntity();
historyLoginEntity.setUserId(userName);
historyLoginEntity.setHid(IDUtil.generateId());
historyLoginEntity.setLoginCount("1");
setCommonValue(request,historyLoginEntity);
boolean hlBol = applicationContext.getBean(HistoryLoginManager.class).addLoginRecord(historyLoginEntity);
log.debug("登錄歷史記錄["+(hlBol?"成功":"失敗")+"].");
}
chain.doFilter(request, response);
}
/**
* 設(shè)置公共屬性;
* @Title: setCommonValue
* @Description: TODO(這里用一句話描述這個(gè)方法的作用)
* @throws
*/
private void setCommonValue(HttpServletRequest request,AbstractEntity entity){
if(request != null){
//獲取當(dāng)前對象;
UserEntity userEntity = (UserEntity) request.getSession().getAttribute(CommonConstants.USER_INFO_SESSION);
if(entity !=null){
String currUser = userEntity.getUserId();
//設(shè)置創(chuàng)建人味廊、創(chuàng)建日期、修改人棠耕、修改時(shí)間
entity.setCreatedBy(currUser);
entity.setModifiedBy(currUser);
entity.setCreationDate(DateUtil.getNowDate());
entity.setModifiedDate(DateUtil.getNowDate());
}
}
}
/**
* 初始化Spring上下文;
*/
@Override
public void init(FilterConfig filterConfig) throws ServletException {
WebApplicationContext applicationContext = WebApplicationContextUtils.getWebApplicationContext(filterConfig.getServletContext());
this.applicationContext = applicationContext;
}
}
愿意了解框架技術(shù)或者源碼的朋友直接加求求（企鵝）：2042849237
更多詳細(xì)源碼參考來源：http://minglisoft.cn/technology
