学步园

1. 教程目的：从头到尾细细道来单点登录服务器及客户端应用的每个步骤
2. 单点登录（SSO）：请看百科解释猛击这里打开
3. 本教程使用的SSO服务器是Yelu大学研发的CAS(Central
   Authentication Server)，
   官网：http://www.jasig.org/cas
4. 本教程环境：
   • Tomcat6.0.29
   • JDK6
   • CAS Server版本：cas-server-3.4.3.1
   • CAS Client版本：cas-client-3.1.12
   • 教程撰写日期：2010-11-05
   • 教程作者：咖啡兔

二、创建证书

啰嗦几句：证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；本教程由于是演示所以就自己用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买，证书认证一般都是由VeriSign认证，
中文官方网站：http://www.verisign.com/cn/

1. 用JDK自带的keytool工具生成证书：
   

   命令：keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey

无图不给力，有图有真相：

具体的输入项图片中都有说明，有一点我要解释一下；在输入完密码后提示输入域名是我输入的是sso.wsria.com，其实这个域名是不存在的，但是我为了演示所以虚拟了这个域名，技巧在于修改C:\Windows\System32\drivers\etc\hosts，添加内容如下：

127.0.0.1 sso.wsria.com

这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机

严重提醒：提示输入域名的时候不能输入IP地址

三、导出证书

命令：D:\keys>keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey

来点颜色：

至此导出证书完成，可以分发给应用的JDK使用了，接下来讲解客户端的JVM怎么导入证书

四、为客户端的JVM导入证书

命令：keytool -import -keystore D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security\cacerts -file D:/keys/wsria.crt -alias wsria

来点颜色瞧瞧：

特别说明：D:\tools\jdk\1.6\jdk1.6.0_20\jre\lib\security — 是jre的目录；密码还是刚刚输入的密码。
至此证书的创建、导出、导入到客户端JVM都已完成，下面开始使用证书到Web服务器中，本教程使用tomcat。

五、应用证书到Web服务器-Tomcat

说是应用起始做的事情就是启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议，为什么加密我就不用啰嗦了吧……
准备好一个干净的tomcat，本教程使用的apache-tomcat-6.0.29
打开tomcat目录的conf/server.xml文件，开启83和87行的注释代码，并设置keystoreFile、keystorePass修改结果如下：

参数说明：

• keystoreFile：在第一步创建的key存放位置
• keystorePass：创建证书时的密码

好了，到此Tomcat的SSL启用完成，现在你可以启动tomcat试一下了，例如本教程输入地址：https://sso.wsria.com:8443/
打开的是：

好的，那么我们点击“继续浏览此网站(不推荐)。 ”，现在进入Tomcat目录了吧，如果是那么你又向成功迈进了一步。
OK，接下来要配置CAS服务器了。

六、CAS服务器初体验

1. CAS服务端下载：http://www.jasig.org/cas/download
2. 下载完成后将cas-server-3.4.3.1.zip解压，解压cas-server-3.4.3/modules/cas-server-webapp-3.4.3.1.war，改名为cas，然后复制cas目录到你的tomcat/webapp目录下
3. 现在可以访问CAS应用了，当然要使用HTTPS加密协议访问，
   例如本教程地址：https://sso.wsria.com:8443/cas/login ，现在打开了CAS服务器的页面输入admin/admin点击登录（CAS默认的验证规则只要用户名和密码相同就通过）所以如果你看到下面的这张图片你就成功了

你成功了吗？如果没有成功请再检查以上步骤！

七、CAS服务器深入配置

上面的初体验仅仅是简单的身份验证，实际应用中肯定是要读取数据库的数据，下面我们来进一步配置CAS服务器怎么读取数据库的信息进行身份验证。
首先打开tomcat/webapp/cas/WEB-INF/deployerConfigContext.xml文件，配置的地方如下：

1. 找到第92行处，注释掉：SimpleTestUsernamePasswordAuthenticationHandler这个验证Handler，这个是比较简单的，只是判断用户名和密码相同即可通过，这个肯定不能在实际应用中使用，弃用！
2. 注释掉92行后在下面添加下面的代码： 
   [html] view
   plaincopy

   1. <bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">  
   2.     <property name="dataSource" ref="dataSource" />  
   3.     <property name="sql" value="select password from t_admin_user where login_name=?" />  
   4.     <property name="passwordEncoder" ref="MD5PasswordEncoder"/>  
   5. </bean>  

   在文件的末尾之前加入如下代码：

   [html] view
   plaincopy

   1. <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">  
   2.    <property name="driverClassName"><value>com.mysql.jdbc.Driver</value></property>  
   3.    <property name="url"><value>jdbc:mysql:///wsriademo</value></property>  
   4.    <property name="username"><value>root</value></property>  
   5.    <property name="password"><value>root</value></property>  
   6. </bean>  
   7.    
   8. <bean id="MD5PasswordEncoder" class="org.jasig.cas.authentication.handler.DefaultPasswordEncoder">    
   9.     <constructor-arg index="0">  
   10.         <value>MD5</value>  
   11.     </constructor-arg>  
   12. </bean>  

    

3. 复制cas-server-3.4.3.1\modules\cas-server-support-jdbc-3.4.3.1.jar和mysql驱动jar包到tomcat/webapp/cas/WEB-INF/lib目录
4. 配置解释：
   • QueryDatabaseAuthenticationHandler是cas-server-support-jdbc提供的查询接口其中一个，QueryDatabaseAuthenticationHandler是通过配置一个 SQL 语句查出密码，与所给密码匹配
   • dataSource我就不用解释了吧，就是使用JDBC查询时的数据源
   • sql语句就是查询哪一张表，本例根据t_admin_user表的login_name字段查询密码，CAS会匹配用户输入的密码，如果匹配则通过；下面是t_admin_user的表结构： 
     [sql] view
     plaincopy

     1. CREATE TABLE t_admin_user (  
     2.     id BIGINT NOT NULL AUTO_INCREMENT,  
     3.     email VARCHAR(255),  
     4.     login_name VARCHAR(255) NOT NULL UNIQUE,  
     5.     name VARCHAR(255),  
     6.     password VARCHAR(255),  
     7.     PRIMARY KEY (id)  
     8. ) ENGINE=InnoDB;  
   • passwordEncoder，这个就算是自己加的盐巴了，意思很明显就是处理密码的加密，看你的应用中数据库保存的是明码还是加密过的，比如本例是使用MD5加密的，所以配置了MD5PasswordEncoder这个Handler，cas内置了MD5的功能所以只需要配置一下就可以了；如果在实际应用中使用的是公司自己的加密算法那么就需要自己写一个Handler来处理密码，实现方式也比较简单，创建一个类继承org.jasig.cas.authentication.handler.PasswordEncoder然后在encode方法中加密用户输入的密码然后返回即可

八、配置CAS客户端

1. 添加cas-client的jar包，有两种方式：
   • 传统型：下载cas-client，地址：http://www.ja-sig.org/downloads/cas-clients/，然后解压cas-client-3.1.12.zip，在modules文件夹中有需要的jar包，请根据自己的项目情况选择使用
   • Maven型： 
     [html] view
     plaincopy

     1. <!-- cas -->  
     2. <dependency>  
     3.     <groupId>org.jasig.cas.client</groupId>  
     4.     <artifactId>cas-client-core</artifactId