CAS 教學 – FoxDevelop https://www.foxdevelop.com 獨立軟體開發工作室 Thu, 06 Aug 2026 08:06:56 +0000 zh-TW hourly 1 https://wordpress.org/?v=7.0.2 https://www.foxdevelop.com/wp-content/uploads/2026/05/fox-svgrepo-com-1.png CAS 教學 – FoxDevelop https://www.foxdevelop.com 32 32 CAS 的實作 https://www.foxdevelop.com/zh-tw/2026/08/06/cas-%e7%9a%84%e5%af%a6%e4%bd%9c/ https://www.foxdevelop.com/zh-tw/2026/08/06/cas-%e7%9a%84%e5%af%a6%e4%bd%9c/#respond Thu, 06 Aug 2026 08:06:56 +0000 https://www.foxdevelop.com/?p=7821 舊版 CAS 的實作思路

核心原理（CAS 1.0 協定）

  1. 使用者存取受保護頁面 /admin/admin.aspx
  2. web.config 權限設定攔截匿名使用者，自動跳轉至登入頁 CasEnter.aspx
  3. CasEnter.aspx 判斷網址是否帶有 ticket 參數
  • 沒有 ticket：重新導向到 CAS 伺服器登入位址，並傳入目前網站位址做為 service
  • 攜帶 ticket：呼叫 serviceValidate 介面向 CAS 伺服器驗證票證
  1. CAS 返回 XML，解析出登入使用者名稱
  2. 驗證成功後呼叫 FormsAuthentication.SetAuthCookie() 寫入本機 Forms 登入票證，跳轉至目標頁面
  3. 後續存取受保護目錄，由 ASP.NET Forms 辨識登入狀態

web.config 設定

<system.web>
  <authentication mode="Forms">
    <!-- loginUrl 指向 CasEnter.aspx 做為 CAS 入口轉頁 -->
    <forms loginUrl="CasEnter.aspx" 
           defaultUrl="admin/admin.aspx" 
           name=".LoginFormsTicket" 
           path="/" 
           timeout="40" 
           protection="All">
    </forms>
  </authentication>
  <authorization>
    <allow users="*"/>
  </authorization>
</system.web>

<!-- 限制 admin 目錄禁止匿名存取 -->
<location path="admin">
  <system.web>
    <authorization>
      <deny users="?"/>
    </authorization>
  </system.web>
</location>

新版 CAS 伺服器預設強制使用 HTTPS，casUrl 務必填寫 https://127.0.0.1:8443/cas/

<appSettings>
  <!-- CAS7 新版位址，結尾必須加上斜線 -->
  <add key="casUrl" value="https://127.0.0.1:8443/cas/"/>
</appSettings>

CasEnter.aspx 頁面程式碼

1. CasEnter.aspx 前端標籤
<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="CasEnter.aspx.cs" Inherits="CasStudy.Web.CasEnter" %>
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>CAS 轉接登入</title>
</head>
<body>
    <form id="form1" runat="server">
        <div>
            <asp:Label ID="Label1" runat="server"></asp:Label><br />
            <asp:HyperLink ID="HyperLink1" runat="server">重新驗證</asp:HyperLink>
        </div>
    </form>
</body>
</html>
2. CasEnter.aspx.cs 後端程式


介面升級為 CAS3.0 p3/serviceValidate
以 HttpClient 取代已淘汰的 WebClient

加入自簽憑證相容性（本機測試新版 CAS 必備）
處理 CAS 返回 XML 的命名空間

using System;
using System.Configuration;
using System.Net;
using System.Net.Http;
using System.Xml;
using System.Web.Security;

public partial class CasEnter : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string casHost = ConfigurationManager.AppSettings["casUrl"];
        string ticket = Request.QueryString["ticket"];
        string service = Request.Url.GetLeftPart(UriPartial.Path);

        // 沒有票證就跳轉 CAS 登入頁
        if (string.IsNullOrEmpty(ticket))
        {
            string redirectUrl = $"{casHost}login?service={Uri.EscapeDataString(service)}";
            Response.Redirect(redirectUrl);
            return;
        }

        // 驗證票證
        string username = ValidateTicket(casHost, ticket, service);
        if (string.IsNullOrEmpty(username))
        {
            Label1.Text = "很抱歉！CAS 驗證失敗，請重新嘗試！";
            HyperLink1.NavigateUrl = Request.Url.AbsolutePath;
        }
        else
        {
            // 寫入 Forms 驗證票證，完成本機登入
            FormsAuthentication.SetAuthCookie(username, false);
            // 跳轉至目標頁面
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

    /// <summary>
    /// CAS3.0 p3/serviceValidate 票證驗證
    /// </summary>
    private string ValidateTicket(string casHost, string ticket, string service)
    {
        // 新版 CAS 建議使用 p3/serviceValidate（CAS3.0 協定）
        string validateUrl = $"{casHost}p3/serviceValidate?ticket={Uri.EscapeDataString(ticket)}&service={Uri.EscapeDataString(service)}";

        // 僅本機測試：允許不受信任的SSL憑證（正式環境務必刪除此段！）
        ServicePointManager.ServerCertificateValidationCallback += (s, cert, chain, err) => true;

        using var httpClient = new HttpClient();
        string xml = httpClient.GetStringAsync(validateUrl).Result;

        XmlDocument doc = new XmlDocument();
        doc.LoadXml(xml);
        XmlNamespaceManager nsMgr = new XmlNamespaceManager(doc.NameTable);
        // CAS3 返回 XML 的命名空間
        nsMgr.AddNamespace("cas", "http://www.yale.edu/tp/cas");

        // 尋找使用者節點
        XmlNode userNode = doc.SelectSingleNode("//cas:authenticationSuccess/cas:user", nsMgr);
        return userNode?.InnerText;
    }
}

CAS 的實作

]]> https://www.foxdevelop.com/zh-tw/2026/08/06/cas-%e7%9a%84%e5%af%a6%e4%bd%9c/feed/ 0 安裝 https://www.foxdevelop.com/zh-tw/2026/08/06/%e5%ae%89%e8%a3%9d/ https://www.foxdevelop.com/zh-tw/2026/08/06/%e5%ae%89%e8%a3%9d/#respond Thu, 06 Aug 2026 07:45:53 +0000 https://www.foxdevelop.com/?p=7805 舊版安裝說明－CAS 5.0以前版本
  1. CAS伺服器以Java開發，執行需仰賴兩大核心執行環境：
  • JDK（Java開發套件）：內含Java虛擬機(JVM)，負責執行Java程式，是執行的基礎。
  • Tomcat（Web容器）：用來部署並執行CAS的war網頁套件。
  1. 安裝順序建議：先安裝JDK → 再安裝Tomcat（Tomcat安裝時會自動偵測本機的JDK環境）

相依套件

1. JDK

版本：（JDK）Java 17
直接下載連結：Java Downloads | Oracle

⚠ 注意：JDK7屬舊版，僅能對應舊版CAS；新專案不建議使用。

2. Apache Tomcat

版本：Tomcat（Windows安裝版）
Apache Tomcat® – Welcome!

安裝步驟

  1. 安裝JDK
    • 執行exe安裝檔，可自行設定安裝路徑
    • 【重點】安裝完建議設定環境變數：JAVA_HOME、Path，讓Tomcat可以正確辨識Java環境
  2. 安裝Tomcat7
    • 執行安裝程式，安裝過程會自動掃描已安裝的JDK
    • 可自訂Tomcat連接埠（預設8080）、設定管理帳號密碼
    • 安裝完成頁面選項：
    • Run Apache Tomcat：勾選後按下Finish就會自動啟動Tomcat服務
    • Show Readme：可以取消勾選，不需要閱讀說明文件
    • 點擊Finish結束安裝

Tomcat設定SSL/HTTPS

核心前提：CAS協定強制伺服器必須使用HTTPS，不允許HTTP，所以一定要幫Tomcat匯入SSL憑證。

  1. 使用JDK內建工具 keytool 產生 JKS金鑰儲存庫（自簽憑證）
  2. 修改Tomcat的 conf/server.xml，開啟SSL連接器
  3. 重新啟動Tomcat，造訪 https://localhost:8443 測試HTTPS是否正常

產生自簽憑證（JKS）

事前準備
  1. 建立憑證存放資料夾，範例：C:\Keys
  2. 以系統管理員身分執行 cmd
    > Windows7/10/11 如果用一般cmd寫入C碟根目錄，會出現權限不足錯誤。
  3. 切換到JDK/JRE的bin目錄
cd "c:\Program Files\Java\jre\bin"

通用命令範本（新版JDK同樣適用）

keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\Keys\.keystore -validity 36000

參數說明

參數說明
-genkey產生金鑰組
-alias tomcat憑證別名，可自訂
-keyalg RSA加密演算法，標準RSA
-storepass changeit金鑰儲存庫密碼（務必記住，後續設定Tomcat會用到）
-keystore c:\Keys\.keystore憑證檔案輸出路徑
-validity 36000憑證有效期限（單位：天）
互動輸入資訊

執行指令後依序輸入：

  1. 名字與姓氏：輸入網域名稱（練習環境可隨意填寫）
  2. 組織單位、組織名稱、城市、省份、國家代碼（cn）
  3. 確認資訊輸入 y
  4. 金鑰密碼：直接按Enter，和金鑰庫密碼維持一致
檢視憑證指令
keytool -list -keystore "C:\Keys\.keystore"

輸入密碼，正常顯示資訊就代表憑證產生成功。

Tomcat server.xml 設定SSL連接器

  1. 打開 Tomcat/conf/server.xml
  2. 找到被註解的SSL Connector，取消註解，修改憑證路徑與密碼
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="C:\Keys\.keystore"
    keystorePass="changeit" />
參數解釋
  • port="8443"：Tomcat預設HTTPS連接埠（標準HTTPS是443，若要改用443要注意連接埠佔用與權限）
  • keystoreFile：剛才產生的憑證檔完整絕對路徑
  • keystorePass：前面keytool設定的金鑰庫密碼
  • clientAuth="false"：不需要用戶端憑證（練習環境固定設false）

驗證方式

啟動Tomcat，瀏覽器開啟網址：
https://127.0.0.1:8443

自簽憑證在瀏覽器會顯示「不安全」屬正常現象；正式上線環境必須購買合法CA憑證。

CAS 5.0+ 安裝

1、取得安裝套件

CAS 5.0+ 捨棄傳統 war + Tomcat 的部署模式，改以SpringBoot為基礎，提供獨立可執行Jar，不需要額外安裝Tomcat

  1. CAS伺服器（Server）

透過CAS Initializr線上產生部署套件
https://casinitializr.apereo.org

2、CAS伺服器部署流程
  1. 開啟 CAS Initializr
  • 選擇 CAS Version：7.0.x（最新穩定版）
  • 勾選基礎模組：Core / Web / SSL
  • 產生並下載 cas.war（或是直接取得獨立執行檔 cas.jar）

兩種封裝模式擇一使用：

  • 模式A（建議）：Standalone（獨立Jar），內建Tomcat，下載即可執行
  • 模式B：傳統War套件，可部署在外掛Tomcat（不建議）
  1. 使用【獨立Jar模式】部署（主流方案）
    1）下載取得 cas.jar
    2）建立設定目錄 ./etc/cas/config，新增設定檔 cas.properties
    3）啟動指令（必須Java17以上環境）
java -jar cas.jar
  1. 連接埠與HTTPS說明
    內建Tomcat預設連接埠：8443（HTTPS）
    新版本預設強制開啟HTTPS，規則與舊版保持一致。
3、存取位址
https://127.0.0.1:8443/cas

安裝

]]> https://www.foxdevelop.com/zh-tw/2026/08/06/%e5%ae%89%e8%a3%9d/feed/ 0 介紹 https://www.foxdevelop.com/zh-tw/2026/08/06/%e4%bb%8b%e7%b4%b9/ https://www.foxdevelop.com/zh-tw/2026/08/06/%e4%bb%8b%e7%b4%b9/#respond Thu, 06 Aug 2026 07:35:39 +0000 https://www.foxdevelop.com/?p=7787 觀念

1. CAS

CAS（Central Authentication Service，中央認證服務）
由耶魯大學發起的開源 Web SSO（單一簽入） 實作框架。

2. SSO（單一簽入）

將多個網站應用的身分登入驗證統一至單一入口完成。

  • 特性：各應用透過 Web 通訊協定（HTTPS）互相溝通，具備全域唯一登入入口
  • 淺白解釋：同一個瀏覽器只要在認證中心登入一次，存取所有信任的網站就不用重複登入

3. SSO 體系的三大角色

  1. User：終端使用者（瀏覽器）
  2. Web 應用程式（多個業務系統）
  3. SSO 認證中心（唯一）

4. SSO 三大核心原則

  1. 所有帳號登入動作統一在 SSO 認證中心執行；
  2. 認證中心提供機制，通知各個 Web 應用程式目前使用者是否已經完成認證；
  3. 認證中心必須和所有業務 Web 應用程式預先建立信任關係。
兩大核心元件

CAS Server（認證伺服器端）

  • 獨立部署的 Web 程式，也就是唯一的認證中心
  • 職責：接收帳號密碼、驗證使用者身分；簽發票據（Ticket）、管理全域會議 Cookie(TGC)

CAS Client（用戶端，內嵌於各業務系統）

  • 部署在各個業務 Web 應用程式內，一般以過濾器 Filter 的形式實作
  • 職責：攔截受保護資源的請求；使用者尚未登入時，自動將瀏覽器重新導向至 CAS Server 登入頁面

運作流程

  1. 使用者存取業務系統資源 → CAS Client 攔截請求，發現請求中沒有 Service Ticket
  2. Client 將瀏覽器重新導向到 CAS Server 登入位址，並攜帶當前業務系統位址（Service）
  3. 使用者在 CAS 伺服器端輸入帳號密碼完成登入認證
    • 登入成功：CAS Server 在瀏覽器寫入 TGC（Ticket Granting Cookie）全域會議 Cookie
    • 產生一次性票據：Service Ticket（ST）
  4. CAS Server 再次重新導向瀏覽器，回到業務系統位址，URL 參數帶上 Ticket=xxx
  5. 業務系統的 CAS Client 在後端發起伺服器請求，帶上 Service 位址與 Ticket，向 CAS Server 驗證票據是否合法
  6. CAS Server 確認票據有效，回傳使用者身分資訊（使用者名稱等）
  7. 驗證通過，業務系統建立本機會議，使用者就可以正常瀏覽頁面

TGC 的作用：只要瀏覽器保留 TGC Cookie，之後存取其他接入 CAS 的系統時，就不會彈出登入頁，自動完成單一簽入。

介紹

]]> https://www.foxdevelop.com/zh-tw/2026/08/06/%e4%bb%8b%e7%b4%b9/feed/ 0