一、引言：单点登录的迫切需求

在当今分布式系统架构中，企业往往需要管理多个子系统或服务。用户频繁登录不同系统不仅降低了工作效率，还增加了安全风险。单点登录（SSO）技术应运而生，它允许用户通过一次认证访问多个应用，极大地简化了登录流程。SpringSecurity作为Spring生态的安全框架，结合CAS（Central Authentication Service）这一开源的单点登录协议，能够快速构建安全、可靠的单点登录解决方案。本文将指导您如何在10分钟内实现这一完美组合。

二、环境准备与依赖添加

1. 环境要求

• JDK 8+
• Spring Boot 2.x+
• Maven/Gradle 构建工具

2. 添加依赖

在pom.xml（Maven项目）中添加SpringSecurity和CAS客户端依赖：

<dependencies>
    <!-- Spring Security -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <!-- CAS Client -->
    <dependency>
        <groupId>org.jasig.cas.client</groupId>
        <artifactId>cas-client-core</artifactId>
        <version>3.6.4</version> <!-- 根据实际情况选择版本 -->
    </dependency>
</dependencies>

三、配置SpringSecurity与CAS集成

1. 配置CAS服务器信息

在application.properties或application.yml中配置CAS服务器地址和当前应用的服务地址：

# CAS Server URL
cas.server.url=https://your-cas-server.com/cas
# Current Application Service URL (用于CAS回调)
cas.service.url=http://your-app.com/login/cas

2. 配置SpringSecurity

创建一个配置类SecurityConfig，继承WebSecurityConfigurerAdapter，并重写相关方法：

import org.jasig.cas.client.validation.Cas20ProxyReceivingTicketValidationFilter;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.cas.authentication.CasAssertionAuthenticationToken;
import org.springframework.security.cas.web.CasAuthenticationFilter;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.authentication.logout.LogoutFilter;
import org.springframework.security.web.authentication.www.BasicAuthenticationFilter;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Value("${cas.server.url}")
    private String casServerUrl;
    @Value("${cas.service.url}")
    private String serviceUrl;
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .addFilterBefore(casAuthenticationFilter(), BasicAuthenticationFilter.class)
            .addFilterBefore(casValidationFilter(), CasAuthenticationFilter.class)
            .addFilterAfter(logoutFilter(), LogoutFilter.class)
            .authorizeRequests()
                .antMatchers("/login/cas", "/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/")
                .invalidateHttpSession(true);
    }
    @Bean
    public CasAuthenticationFilter casAuthenticationFilter() throws Exception {
        CasAuthenticationFilter filter = new CasAuthenticationFilter();
        filter.setFilterProcessesUrl("/login/cas");
        filter.setAuthenticationManager(authenticationManager());
        return filter;
    }
    @Bean
    public Cas20ProxyReceivingTicketValidationFilter casValidationFilter() {
        Cas20ProxyReceivingTicketValidationFilter filter = new Cas20ProxyReceivingTicketValidationFilter();
        filter.setServerName(serviceUrl.replace("/login/cas", ""));
        filter.setCasServerUrlPrefix(casServerUrl);
        return filter;
    }
    @Bean
    public LogoutFilter logoutFilter() {
        // 自定义LogoutFilter配置，如重定向到CAS登出页面
        return new LogoutFilter("/logout/cas", logoutHandler -> {
            // 登出逻辑
        });
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password("{noop}password") // 实际应用中应使用加密密码
            .roles("USER");
        // 实际应用中应配置CAS认证提供者
    }
}

注意：上述代码中的configure(AuthenticationManagerBuilder auth)方法仅为示例，实际应集成CAS认证提供者，通常通过CasAuthenticationProvider实现。

四、快速测试与验证

1. 启动应用

使用mvn spring-boot:run或IDE启动Spring Boot应用。

2. 访问受保护资源

尝试访问需要认证的资源，如/private，应被重定向到CAS登录页面。

3. CAS登录

在CAS登录页面输入有效凭据，登录成功后应被重定向回原应用，并显示认证成功信息。

五、进阶配置与优化

1. 自定义用户详情服务

实现UserDetailsService接口，从数据库或其他数据源加载用户信息。

2. 安全性增强

• 启用HTTPS
• 配置CSRF保护
• 设置会话超时

3. 多应用集成

确保所有子系统使用相同的CAS服务器和回调地址前缀，实现真正的单点登录。

六、常见问题与解决方案

1. 回调地址不匹配

检查cas.service.url配置，确保与CAS服务器注册的服务地址一致。

2. 证书问题

若CAS服务器使用自签名证书，需在JVM中添加信任或配置忽略SSL验证（仅用于开发环境）。

3. 登录循环

检查重定向逻辑，确保不会无限循环于应用与CAS服务器之间。

七、总结与展望

通过上述步骤，您已成功在10分钟内实现了SpringSecurity与CAS的集成，构建了高效、安全的单点登录系统。这一方案不仅提升了用户体验，还增强了系统的安全性。未来，随着技术的发展，可以考虑集成OAuth2、OpenID Connect等更先进的认证协议，以满足不断变化的安全需求。

通过本文的指导，即使是初学者也能快速上手，实现企业级应用的单点登录功能，为构建更加安全、便捷的数字化环境贡献力量。