10分钟实现 SpringSecurity + CAS 完美单点登录方案

摘要

在分布式系统或微服务架构中，单点登录（SSO）是提升用户体验和安全性的关键技术。本文将通过SpringSecurity与CAS（Central Authentication Service）的集成，展示如何在10分钟内快速构建一个高效、安全的单点登录系统。从环境准备、依赖配置到核心代码实现，每一步都将详细阐述，确保读者能够轻松上手。

一、环境准备

1.1 开发环境

• JDK 8+：确保Java开发环境已配置。
• Maven/Gradle：项目构建工具，用于管理依赖。
• Spring Boot 2.x：快速构建Spring应用的框架。
• IDE：如IntelliJ IDEA或Eclipse，提供代码编辑和调试支持。

1.2 CAS服务器

• 下载并部署CAS服务器（如CAS Overlay Template），这是一个预配置的CAS服务器模板，简化了部署过程。
• 配置CAS服务器的基本设置，如服务注册、主题定制等。

二、依赖配置

2.1 添加SpringSecurity依赖

在Maven项目的pom.xml文件中添加SpringSecurity和SpringSecurity CAS的依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-cas</artifactId>
</dependency>

2.2 配置CAS客户端

在application.properties或application.yml中配置CAS客户端的相关参数：

# CAS服务器URL
cas.server.url=https://your-cas-server/cas
# 应用服务URL（用于回调）
cas.service.url=http://your-app-url/login/cas
# CAS登录路径
cas.login.path=/login/cas
# CAS登出路径
cas.logout.path=/logout/cas

三、核心代码实现

3.1 配置SpringSecurity

创建一个SpringSecurity配置类，启用CAS认证：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Value("${cas.server.url}")
    private String casServerUrl;
    @Value("${cas.service.url}")
    private String serviceUrl;
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/")
                .and()
            .addFilter(casFilter());
    }
    @Bean
    public CasAuthenticationFilter casFilter() throws Exception {
        CasAuthenticationFilter filter = new CasAuthenticationFilter();
        filter.setAuthenticationManager(authenticationManager());
        filter.setFilterProcessesUrl(casLoginPath());
        return filter;
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(casAuthenticationProvider());
    }
    @Bean
    public CasAuthenticationProvider casAuthenticationProvider() {
        CasAuthenticationProvider provider = new CasAuthenticationProvider();
        provider.setAuthenticationUserDetailsService(userDetailsService());
        provider.setServiceProperties(serviceProperties());
        provider.setTicketValidator(cas20ServiceTicketValidator());
        provider.setKey("CAS_PROVIDER_LOCALHOST_9000");
        return provider;
    }
    @Bean
    public ServiceProperties serviceProperties() {
        ServiceProperties sp = new ServiceProperties();
        sp.setService(serviceUrl + casLoginPath());
        sp.setSendRenew(false);
        return sp;
    }
    @Bean
    public TicketValidator cas20ServiceTicketValidator() {
        return new Cas20ProxyTicketValidator(casServerUrl);
    }
    @Bean
    public UserDetailsService userDetailsService() {
        // 实现自定义的UserDetailsService，根据CAS返回的用户信息加载用户详情
        return username -> {
            // 这里简化处理，实际应用中应从数据库或其他存储中加载用户信息
            if ("admin".equals(username)) {
                return new User(username, "", 
                    AuthorityUtils.createAuthorityList("ROLE_ADMIN"));
            } else {
                return new User(username, "", 
                    AuthorityUtils.createAuthorityList("ROLE_USER"));
            }
        };
    }
    private String casLoginPath() {
        // 从配置中读取或硬编码，这里简化处理
        return "/login/cas";
    }
}

3.2 自定义UserDetailsService

如上代码所示，实现一个自定义的UserDetailsService，用于根据CAS返回的用户名加载用户详情，包括角色信息。

四、测试验证

4.1 启动应用

运行Spring Boot应用，确保所有服务正常启动。

4.2 访问受保护资源

尝试访问需要认证的资源（如/admin），系统应自动重定向到CAS登录页面。

4.3 CAS登录

在CAS登录页面输入用户名和密码（需在CAS服务器上预先配置），登录成功后，应重定向回应用，并显示用户信息。

4.4 单点登出

访问应用的登出路径（如/logout/cas），系统应触发CAS登出流程，同时清除本地会话。

五、进阶配置与优化

5.1 主题定制

根据企业品牌，定制CAS登录页面的主题，包括LOGO、颜色等。

5.2 多因素认证

在CAS服务器上配置多因素认证（如短信验证码、邮箱验证码），提升安全性。

5.3 属性释放

配置CAS服务器，在认证成功后释放用户属性（如邮箱、手机号），以便应用进行更精细的权限控制。

六、总结

通过SpringSecurity与CAS的集成，我们快速构建了一个高效、安全的单点登录系统。从环境准备、依赖配置到核心代码实现，每一步都至关重要。本文提供的方案不仅简化了开发流程，还确保了系统的安全性和可扩展性。在实际应用中，可根据具体需求进行定制和优化，以满足不同场景下的单点登录需求。