前言
目前我們系統(tǒng)中腋逆，用戶登陸旁壮，API調(diào)用是融合在一起的监嗜，API后面是調(diào)用各個dubbo服務(wù)。為了保證各個系統(tǒng)能夠鑒權(quán)抡谐，目前的做法是裁奇，用用戶登陸后，生成token,將token存在redis中麦撵，各個系統(tǒng)通過讀取reids的token作為驗(yàn)證刽肠。
幾個問題：
- 登陸體系和業(yè)務(wù)代碼混合在一起，不是特別規(guī)范免胃。
- 自定義的token機(jī)制音五，缺點(diǎn)很多。
- 所有服務(wù)都是直接讀取redis,安全性很差羔沙。
- 擴(kuò)展性比較差躺涝。
準(zhǔn)備
目前業(yè)務(wù)系統(tǒng)完全耦合在一起的，我們需要將登陸?yīng)毩⒊鰜怼?br>
很多大公司都有自己的CAS系統(tǒng)扼雏，這樣公司的其他系統(tǒng)不必要建立自己的賬號體系坚嗜，直接接入CAS即可。
之前我不是特別能夠區(qū)分CAS,SSO,OAUTH2這些概念诗充，經(jīng)過了幾個星期的探索重要理清楚了苍蔬。
- SSO
SSO是Single Sign On，一次登陸蝴蜓，全部訪問碟绑。對于我們來說，使用了SSO茎匠，多個系統(tǒng)可以完全獨(dú)立蜈敢，所有系統(tǒng)不用關(guān)心用戶體系。 - OAUTH2
OAUTH2是一種授權(quán)開放協(xié)議汽抚。官網(wǎng)上面這么介紹.
相關(guān)文章：An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications.
https://oauth.net/
http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html - CAS
CAS是Central Authentication Service的縮寫，耶魯大學(xué)開啟的一個開源項(xiàng)目伯病，是企業(yè)級的SSO解決方案造烁。
https://apereo.github.io/cas/5.3.x/index.html
改造
基于上面的概念，以及我們的需求午笛，我們的用戶系統(tǒng)有SSO和OAUTH2.0兩個功能惭蟋。我們會基于CAS實(shí)現(xiàn)我們的功能，CAS天熱支持SSO,主要是OAUTH2.0的支持药磺，我們查他的文檔發(fā)現(xiàn)他有插件可以支持告组。
對于環(huán)境搭建，可以參考：
https://blog.csdn.net/qq_34021712/article/details/80871015
https://blog.csdn.net/qq_34021712/article/details/82290876
正文
構(gòu)建SSO和OAUTH2.0
按上面文章結(jié)合官網(wǎng)癌佩，我們搭建好環(huán)境木缝。
https://apereo.github.io/cas/5.3.x/installation/OAuth-OpenId-Authentication.html
訪問下面地址
https://server.cas.com:8443/cas/oauth2.0/accessToken?grant_type=password&client_id=20180901&username=casuser&password=Mellon
得到下面結(jié)果：
access_token=AT-1-DrieDtlxv43rEiXIt2uuRvD3YFKTvCE9&expires_in=28800
我們將access_token修改放入下面地址
https://server.cas.com:8443/cas/oauth2.0/profile?access_token=AT-1-DrieDtlxv43rEiXIt2uuRvD3YFKTvCE9
得到下面結(jié)果:
{ "service": "http://localhost:8080", "attributes": {}, "id": "casuser", "client_id": "20180901" }
我們會發(fā)現(xiàn)沒有任何用戶信息便锨，然后我參考cas5.3.2單點(diǎn)登錄-自定義返回信息給客戶端(十九) 這個文章, 發(fā)現(xiàn)結(jié)果沒有任何變化。
問題和解決
既然有問題我碟，那么怎么解決放案？之前我走了很多彎路，原因在于兩個方面矫俺，第一吱殉，對CAS本地理解不足，第二厘托，對于官網(wǎng)文檔理解不足友雳。
首先，需要debug一下铅匹，看看問題所在押赊，我們有兩個url,第一個是獲取accessToken,第二個是獲取用戶信息。
跟蹤獲取用戶信息伊群，發(fā)現(xiàn)獲取用戶信息是從session里面獲取的考杉，里面用戶信息就是空，那么我開始會認(rèn)為是accessToken獲取的時候舰始，會將用戶信息放入session,這里出現(xiàn)問題崇棠，才會導(dǎo)致profile沒有效果。
進(jìn)一步跟蹤accessToken,發(fā)現(xiàn)在存儲session的時候丸卷，使用的是UsernamePasswordCredential生成的profile,而這個里面只用username和password兩個屬性枕稀。所以，你用密碼方式登錄的谜嫉，session里面是不會存儲任何用戶信息萎坷。
這個時候，查看官方文檔沐兰，里面開始就有個定制模式哆档，我一直不明白.
package org.apereo.cas.support.oauth;
@Configuration("MyOAuthConfiguration")
@EnableConfigurationProperties(CasConfigurationProperties.class)
public class MyOAuthConfiguration {
@Bean
@RefreshScope
public OAuth20UserProfileViewRenderer oauthUserProfileViewRenderer() {
...
}}
在跟蹤profile代碼的時候，發(fā)現(xiàn)OAuth20UserProfileViewRenderer是這里面的方法住闯，才恍然大悟瓜浸，官方的意思是，accessToken的時候比原，你不需要做任何修改插佛，但是在獲取用戶信息的時候，你可以自定義量窘，例如從數(shù)據(jù)庫或者 Redis里面讀取用戶信息雇寇。
代碼如下:
配置類
package com.destinym.cas.config;
import com.destinym.cas.custom.CustomOAuth20UserProfileViewRenderer;
import com.destinym.cas.mock.MockUserService;
import com.destinym.cas.service.UserService;
import org.apereo.cas.configuration.CasConfigurationProperties;
import org.apereo.cas.support.oauth.web.views.OAuth20UserProfileViewRenderer;
import org.springframework.boot.context.properties.EnableConfigurationProperties;
import org.springframework.cloud.context.config.annotation.RefreshScope;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
@Configuration("customAuthenticationConfiguration")
@EnableConfigurationProperties(CasConfigurationProperties.class)
public class CustomOAuthConfiguration {
@Bean
@RefreshScope
public OAuth20UserProfileViewRenderer oauthUserProfileViewRenderer() {
CustomOAuth20UserProfileViewRenderer customOAuth20UserProfileViewRenderer = new CustomOAuth20UserProfileViewRenderer();
return customOAuth20UserProfileViewRenderer;
}
@Bean
public UserService userService() {
return new MockUserService();
}
}
重新render類
package com.destinym.cas.custom;
import com.destinym.cas.service.UserService;
import lombok.extern.slf4j.Slf4j;
import org.apereo.cas.support.oauth.util.OAuth20Utils;
import org.apereo.cas.support.oauth.web.views.OAuth20UserProfileViewRenderer;
import org.apereo.cas.ticket.accesstoken.AccessToken;
import org.springframework.beans.factory.annotation.Autowired;
import java.util.Map;
/**
* Created by mengliang on 2018/12/30.
*/
@Slf4j
public class CustomOAuth20UserProfileViewRenderer implements OAuth20UserProfileViewRenderer {
@Autowired
private UserService userService;
private final String ID ="id";
@Override
public String render(Map<String, Object> model, AccessToken accessToken) {
try {
String userId = (String) model.get(ID);
if (userId != null) {
return OAuth20Utils.jsonify(userService.findByUserName(userId));
}
}catch (Exception e){
}
return null;
}
}
自定義用戶接口
package com.destinym.cas.service;
import java.util.Map;
/**
* Created by mengliang on 2018/12/27.
*/
public interface UserService {
Map<String, Object> findByUserName(String username);
}
MOCK用戶信息
package com.destinym.cas.mock;
import com.destinym.cas.service.UserService;
import java.util.HashMap;
import java.util.Map;
/**
* Created by mengliang on 2018/12/30.
*/
public class MockUserService implements UserService {
@Override
public Map<String, Object> findByUserName(String username) {
{
HashMap hashMap = new HashMap();
hashMap.put("username", "casuser");
hashMap.put("tel","18600000000");
hashMap.put("region","china");
return hashMap;
}
}
}
修改spring.factories
增加
org.springframework.boot.autoconfigure.EnableAutoConfiguration=\
org.apereo.cas.config.CasEmbeddedContainerTomcatConfiguration,\
org.apereo.cas.config.CasEmbeddedContainerTomcatFiltersConfiguration,\
com.destinym.cas.config.CustomOAuthConfiguration
重新部署后，運(yùn)行結(jié)果為
{
"tel": "18600000000",
"region": "china",
"username": "casuser"
}
大功告成。具體可以參考git地址：
https://github.com/destinym/cas-oauth2-custom
