对于单点登录，你不得不了解的CAS

红太狼 2023-09-24 17:11 37阅读 0赞

# 寒暄开始 #

> 今天是上班的第一天，刚进公司就见到了上次的面试官，穿着格子衬衫和拖鞋，我们就叫他老余吧。老余看见我就开始勾肩搭背聊起来了，完全就是自来熟的样子，和我最近看的少年歌行里的某人很像。

# 什么是CAS呢 #

老余：上次你说到了`CAS`，你觉得`CAS`是什么?

我：之前我们面试的时候，我讲了`JWT`单点登录带来的问题，然后慢慢优化，最后衍变成了中心化单点登录系统，也就是`CAS`的方案。

CAS（Central Authentication Service），中心认证服务，就是单点登录的某种实现方案。你可以把它理解为它是一个登录中转站，通过`SSO`站点，既解决了`Cookie`跨域的问题，同时还通过`SSO`服务端实现了登录验证的中心化。

> 这里的SSO指的是：SSO系统

# 它的设计流程是怎样的 #

老余：你能不能讲下它的大致实现思路，这说的也太虚头巴脑了，简直是听君一席话，如听一席话。  
我：你别急呀，先看下它的官方流程图。

![format_png][]

# 重定向到SSO #

首先，用户想要访问系统A的页面1，自然会调用`www.chezhe1.com`的限制接口，（比如说用户信息等接口登录后才能访问）。

接下来 系统A 服务端一般会在拦截器【也可以是过滤器，AOP 啥的】中根据`Cookie`中的`SessionId`判断用户是否已登录。如果未登录，则重定向到`SSO`系统的登录页面，并且带上自己的回调地址，便于用户在`SSO`系统登录成功后返回。此时回调地址是：`www.sso.com?url=www.chezhe1.com`。

> 这个回调地址大家应该都不会陌生吧，像那种异步接口或者微信授权、支付都会涉及到这块内容。不是很了解的下面会解释~  
> 另外这个回调地址还必须是前端页面地址，主要用于回调后和当前系统建立会话。

此时如下图所示：

![format_png 1][]

# 用户登录 #

1.  在重定向到`SSO`登录页后，需要在页面加载时调用接口，根据`SessionId`判断当前用户在`SSO`系统下是否已登录。【注意这时候已经在 SSO 系统的域名下了，也就意味着此时`Cookie`中的`domain`已经变成了`sso.com`】

> 为什么又要判断是否登录？因为在 CAS 这个方案中，只有在SSO系统中为登录状态才能表明用户已登录。

1.  如果未登录，展现账号密码框，让用户输入后进行`SSO`系统的登录。登录成功后，`SSO`页面和`SSO`服务端建立起了会话。 此时流程图如下所示：

![format_png 2][]

## 安全验证 ##

老余：你这里有一个**很大的漏洞**你发现没有？  
我：emm，我当然知道。

对于中心化系统，我们一般会分发对应的`AppId`，然后要求每个应用设置**白名单域名**。所以在这里我们还得验证`AppId`的有效性，**白名单域名和回调地址域名是否匹配**。否则有些人在回调地址上写个黄色网站那不是凉凉。

![format_png 3][]

# 获取用户信息登录 #

1.  在正常的系统中用户登录后，一般需要跳转到业务界面。但是在`SSO`系统登录后，需要跳转到原先的系统A，这个系统A地址怎么来？还记得重定向到`SSO`页面时带的回调地址吗？

![format_png 4][]

通过这个回调地址，我们就能很轻易的在用户登录成功后，返回到原先的业务系统。

1.  于是用户登录成功后根据回调地址，带上`ticket`，重定向回系统A，重定向地址为：`www.chezhe1.com?ticket=123456a`。
2.  接着根据`ticket`，从`SSO`服务端中获取`Token`。在此过程中，需要对`ticket`进行验证。
3.  根据`token`从`SSO`服务端中获取用户信息。在此过程中，需要对`token`进行验证。
4.  获取用户信息后进行登录，至此系统A页面和系统A服务端建立起了会话，登录成功。

此时流程图如下所示：

![format_png 5][]

别以为这么快就结束了哦，我这边提出几个问题，只有把这些想明白了，才算是真的清楚了。

*  为什么需要 Ticket?
 *  验证 Ticket 需要验证哪些内容？
 *  为什么需要 Token?
 *  验证 Token 需要验证哪些内容？
 *  如果没有Token，我直接通过Ticket 获取用户信息是否可行？

## 为什么需要 Ticket ##

我们可以反着想，如果没有`Ticket`，我们该用哪种方式获取`Token`或者说用户信息？你又该怎么证明你已经登录成功？用`Cookie`吗，明显是不行的。

所以说，`Ticket`是一个凭证，是当前用户登录成功后的产物。没了它，你证明不了你自己。

## 验证 Ticket 需要验证哪些内容 ##

1.  签名：对于这种中心化系统，为了安全，绝大数接口请求都会有着验签机制，也就是**验证这个数据是否被篡改**。至于验签的具体实现，五花八门都有。
2.  真实性：验签成功后拿到`Ticket`，需要验证`Ticket`是否是真实存在的，不能说随便造一个我就给你返回`Token`吧。
3.  使用次数：为了安全性，`Ticket`只能使用一次，否则就报错，因为`Ticket`很多情况下是拼接在`URL`上的，肉眼可见。
4.  有效期：另外则是`Ticket`的时效，超过一定时间内，这个`Ticket`会过期。比如微信授权的`Code`只有5分钟的有效期。
5.  ......

## 为什么需要 Token? ##

只有通过`Token`我们才能从`SSO`系统中获取用户信息，但是为什么需要`Token`呢？我直接通过`Ticket`获取用户信息不行吗？

答案当然是不行的，首先为了**保证安全性**，`Ticket`只能使用一次，另外`Ticket`具有时效性。但这与某些系统的业务存在一定冲突。因此通过使用`Token`增加有效时间，同时保证重复使用。

## 验证 Token 需要验证哪些内容？ ##

和验证 Ticket类似

1.  签名 2. 真实性 3. 有效期

## 如果没有 Token，我直接通过 Ticket 获取用户信息是否可行？ ##

这个内容其实上面已经给出答案了，从实现上是可行的，从设计上不应该，因为`Ticket`和`Token`的职责不一样，`Ticket` 是登录成功的票据，`Token`是获取用户信息的票据。

# 用户登录系统B流程 #

老余：系统A登录成功后，那系统B的流程呢？  
我：那就更简单了。

比如说此时用户想要访问系统B，`www.chezhe2.com`的限制接口，系统B服务端一般会在拦截器【也可以是过滤器，AOP 啥的】中根据`Cookie`中的`SessionId`判断用户是否已登录。此时在系统B中该系统肯定未登录，于是重定向到`SSO`系统的登录页面，并且带上自己的回调地址，便于用户在`SSO`系统登录成功后返回。回调地址是：[www.sso.com?url=www.chezhe2.com。][www.sso.com_url_www.chezhe2.com]

我们知道之前SSO页面已经与SSO服务端建立了会话，并且因为`Cookie`在`SSO`这个域名下是共享的，所以此时`SSO`系统会判断当前用户已登录。然后就是之前的那一套逻辑了。 此时流程图如下所示：

![format_png 6][]

# 技术以外的事 #

老余：不错不错，理解的还可以。你发现这套系统里，做的最多的是什么，有什么技术之外的感悟没。说到这，老余叹了口气。

我：我懂，做的最多的就是验证了，验证真实性、有效性、白名单这些。明明一件很简单的事，最后搞的那么复杂。像现在银行里取钱一样，各种条条框框的限制。我有时候会在想，技术发展、思想变革对于人类文明毋庸置疑是有益的，但是对于我们人类真的是一件好事吗？如果我们人类全是机器人那样的思维是不是会更好点？

![format_png 7][]

老余：我就随便一提，你咋巴拉巴拉了这么多。我只清楚一点，拥有七情六欲的人总是好过没有情感的机器人的。好了，干活去吧。

# 总结 #

这一篇内容就到这了，我们聊了下关于单点登录的 CAS 设计思路，其实CAS 往大了讲还能讲很多，可惜我的技术储备还不够，以后有机会补充。如果想理解的更深刻，也可以去看下微信授权流程，应该会有帮助。

最后还顺便提了点技术之外的事，记得有句话叫做：科学的尽头是哲学，我好像开始慢慢理解这句话的意思了。

[format_png]: https://img-blog.csdnimg.cn/img_convert/062a4ab3601d2798eb0f0f695935376b.webp?x-oss-process=image/format,png
[format_png 1]: https://img-blog.csdnimg.cn/img_convert/86789441850ac12aede76f03d6d4c720.webp?x-oss-process=image/format,png
[format_png 2]: https://img-blog.csdnimg.cn/img_convert/6de965a537928765cd66be1dce7f19e8.webp?x-oss-process=image/format,png
[format_png 3]: https://img-blog.csdnimg.cn/img_convert/3f71addaa741c82d53c575feb9ee89ec.webp?x-oss-process=image/format,png
[format_png 4]: https://img-blog.csdnimg.cn/img_convert/6adcfcc673cdcea614836b424f32a9b7.webp?x-oss-process=image/format,png
[format_png 5]: https://img-blog.csdnimg.cn/img_convert/e31747b35804638ad5e967259c95d34d.webp?x-oss-process=image/format,png
[www.sso.com_url_www.chezhe2.com]: https://link.juejin.cn?target=http%3A%2F%2Fwww.sso.com%3Furl%3Dwww.chezhe2.com%25E3%2580%2582
[format_png 6]: https://img-blog.csdnimg.cn/img_convert/64b16e239a6b20f29f7a39a53efe0235.webp?x-oss-process=image/format,png
[format_png 7]: https://img-blog.csdnimg.cn/img_convert/7d65e1123e74552e047f317469403c43.webp?x-oss-process=image/format,png