Apache Shiro 集成-Cas

绝地灬酷狼 2022-03-14 15:50 329阅读 0赞

Shiro集成CAS是在1.2版本里新增的功能。

Shiro-cas模块将应用作为CAS客户端与CAS SSO服务器一起保护web应用。

CAS协议的一个基本理解：

1． 如果你想访问一个被CAS客户端保护的应用，而你还没有进行认证。你讲被重定向到CAS服务端的登录页面。在应用中你需要配置CAS的登录url地址。

<table> 
 <tbody> 
  <tr> 
   <td> <p>http://application.examples.com/protected/index.jsp&nbsp;<span style="font-family:微软雅黑">→&nbsp;</span><span style="font-family:Calibri">HTTP&nbsp;302</span></p> <p>→&nbsp;<span style="font-family:Calibri">https://server.cas.com/login?service=http://application.examples.com/shiro-cas</span></p> </td> 
  </tr> 
 </tbody> 
</table>

2． 当你填上登录名和密码在CAS服务端进行认证后，你就被重定向到一个带有服务端票据的应用URL。服务端票据是一次性使用的令牌，可在CAS服务端标识用户的唯一性（或用户属性）。

<table> 
 <tbody> 
  <tr> 
   <td> <p>https://server.cas.com/login?service=http://application.examples.com/shiro-cas&nbsp;<span style="font-family:微软雅黑">→&nbsp;</span><span style="font-family:Calibri">HTTP&nbsp;302</span></p> <p>→&nbsp;<span style="font-family:Calibri">http://application.examples.com/shiro-cas?ticket=ST-4545454542121-cas</span></p> </td> 
  </tr> 
 </tbody> 
</table>

3． 应用去CAS服务端询问票据的有效性，CAS服务端响应经过认证的用户唯一标识。CAS客户端将页面转发到受保护的页面。

<table> 
 <tbody> 
  <tr> 
   <td> <p>http://application.examples.com/shiro-cas?ticket=ST-4545454542121-cas&nbsp;<span style="font-family:微软雅黑">→&nbsp;</span><span style="font-family:Calibri">HTTP&nbsp;302</span></p> <p>→&nbsp;<span style="font-family:Calibri">http://application.examples.com/protected/index.jsp</span></p> </td> 
  </tr> 
 </tbody> 
</table>

如何配置shiro与CAS服务器工作？

在你的应用中添加shiro-cas Maven依赖

<table> 
 <tbody> 
  <tr> 
   <td> <p>&lt;dependency&gt;</p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&lt;groupId&gt;org.apache.shiro&lt;/groupId&gt;</p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&lt;artifactId&gt;shiro-cas&lt;/artifactId&gt;</p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&lt;version&gt;version&lt;/version&gt;</p> <p>&lt;/dependency&gt;</p> </td> 
  </tr> 
 </tbody> 
</table>

在你的应用中添加服务端url，这个url被用来接收CAS服务端票据。

在Shiro配置中定义CasFilter：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>casFilter&nbsp;=&nbsp;org.apache.shiro.cas.CasFilter</p> <p>casFilter.failureUrl&nbsp;=&nbsp;/error.jsp</p> </td> 
  </tr> 
 </tbody> 
</table>

定义过滤器对应的url：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[urls]</p> <p>/shiro-cas&nbsp;=&nbsp;casFilter</p> </td> 
  </tr> 
 </tbody> 
</table>

这样一来，当用户经过CAS服务端的有效票据认证后被重定向到应用的服务地址（/shiro-cas），这个过滤器接收服务端票据并创建一个可以被CasRealm使用的CasToken。

CasRealm使用被CasFilter创建的CasToken来验证用户的合法性。在你的shiro配置中添加CasRealm：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>casRealm&nbsp;=&nbsp;org.apache.shiro.cas.CasRealm</p> <p>casRealm.defaultRoles&nbsp;=&nbsp;ROLE_USER</p> <p>#casRealm.defaultPermissions</p> <p>#casRealm.roleAttributeNames</p> <p>#casRealm.permissionAttributeNames</p> <p>#casRealm.validationProtocol&nbsp;=&nbsp;SAML</p> <p>casRealm.casServerUrlPrefix&nbsp;=&nbsp;https://server.cas.com/</p> <p>casRealm.casService&nbsp;=&nbsp;http://application.examples.com/shiro-cas</p> </td> 
  </tr> 
 </tbody> 
</table>

casServerUrlPrefix是CAS服务端地址。

casService是应用服务地址，用来接收CAS服务端票据。

validationProcol值为SAML or CAS，默认是CAS。它依赖于CAS服务器的版本，SAML协议只能使用在CAS server version >= 3.1。

defaultRoles是认证通过后默认角色。

defaultPermissions是认证通过后默认权限。

roleAttributeNames是认证通过的用户的角色属性名称，用逗号分隔。

permissionAttributeNames是认证通过的用户的权限属性名称，用逗号分隔。

CAS服务端可以支持 ‘remember me’ 功能，这个信息通过SAML验证或CAS定制验证发布。你需要在Shiro配置中定义CasSubjectFactory：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>casSubjectFactory&nbsp;=&nbsp;org.apache.shiro.cas.CasSubjectFactory</p> <p>securityManager.subjectFactory&nbsp;=&nbsp;$casSubjectFactory</p> </td> 
  </tr> 
 </tbody> 
</table>

最后，为你的应用增加安全控制。定义需要保护的url地址和需要进行认证的CAS服务端地址：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>roles.loginUrl&nbsp;=&nbsp;<a href="https://server.cas.com/login?service=http://application.examples.com/shiro-cas" rel="nofollow">https://server.cas.com/login?service=http://application.examples.com/shiro-cas</a></p> <p></p> <p>[urls]</p> <p>/protected/**&nbsp;=&nbsp;roles[ROLE_USER]</p> <p>/**&nbsp;=&nbsp;anon</p> </td> 
  </tr> 
 </tbody> 
</table>

一个完整的配置例子：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>casFilter&nbsp;=&nbsp;org.apache.shiro.cas.CasFilter</p> <p>casFilter.failureUrl&nbsp;=&nbsp;/error.jsp</p> <p></p> <p>casRealm&nbsp;=&nbsp;org.apache.shiro.cas.CasRealm</p> <p>casRealm.defaultRoles&nbsp;=&nbsp;ROLE_USER</p> <p>casRealm.casServerUrlPrefix&nbsp;=&nbsp;https://server.cas.com/</p> <p>casRealm.casService&nbsp;=&nbsp;http://application.examples.com/shiro-cas</p> <p></p> <p>casSubjectFactory&nbsp;=&nbsp;org.apache.shiro.cas.CasSubjectFactory</p> <p>securityManager.subjectFactory&nbsp;=&nbsp;$casSubjectFactory</p> <p></p> <p>roles.loginUrl&nbsp;=&nbsp;https://server.cas.com/login?service=http://application.examples.com/shiro-cas</p> <p></p> <p>[urls]</p> <p>/shiro-cas&nbsp;=&nbsp;casFilter</p> <p>/protected/**&nbsp;=&nbsp;roles[ROLE_USER]</p> <p>/**&nbsp;=&nbsp;anon</p> </td> 
  </tr> 
 </tbody> 
</table>