CAS 教程 – FoxDevelop

CAS的实现

jack — Mon, 03 Aug 2026 01:03:57 +0000

旧版本的CAS实现思路

核心原理（CAS 1.0 协议）

用户访问受保护页面 /admin/admin.aspx
web.config 权限配置拦截匿名用户，自动跳转登录页 CasEnter.aspx
CasEnter.aspx 判断URL有无 ticket 参数

无ticket：重定向到CAS服务端登录地址，并传入当前站点地址 service
携带ticket：调用 serviceValidate接口向CAS服务器校验票据

CAS返回XML，解析出登录用户名
校验成功后调用 FormsAuthentication.SetAuthCookie() 写入本地Forms登录票据，跳转目标页面
后续访问受保护目录，由ASP.NET Forms身份识别登录状态

web.config 配置

<system.web>
  <authentication mode="Forms">
    
    <forms loginUrl="CasEnter.aspx" 
           defaultUrl="admin/admin.aspx" 
           name=".LoginFormsTicket" 
           path="/" 
           timeout="40" 
           protection="All">
    forms>
  authentication>
  <authorization>
    <allow users="*"/>
  authorization>
system.web>


<location path="admin">
  <system.web>
    <authorization>
      <deny users="?"/>
    authorization>
  system.web>
location>

新版CAS服务端默认强制HTTPS，casUrl 必须填写 https://127.0.0.1:8443/cas/

<appSettings>
  
  <add key="casUrl" value="https://127.0.0.1:8443/cas/"/>
appSettings>

CasEnter.aspx 页面代码

1. CasEnter.aspx 前端

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="CasEnter.aspx.cs" Inherits="CasStudy.Web.CasEnter" %>
html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>CAS中转登录title>
head>
<body>
    <form id="form1" runat="server">
        <div>
            <asp:Label ID="Label1" runat="server">asp:Label><br />
            <asp:HyperLink ID="HyperLink1" runat="server">重新认证asp:HyperLink>
        div>
    form>
body>
html>

2. CasEnter.aspx.cs 后端

接口升级为CAS3.0 p3/serviceValidate
增加HttpClient替代废弃WebClient

增加自签名证书兼容（本地测试新版CAS必备）
命名空间处理CAS返回XML命名空间

using System;
using System.Configuration;
using System.Net;
using System.Net.Http;
using System.Xml;
using System.Web.Security;

public partial class CasEnter : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string casHost = ConfigurationManager.AppSettings["casUrl"];
        string ticket = Request.QueryString["ticket"];
        string service = Request.Url.GetLeftPart(UriPartial.Path);

        // 没有票据，跳转CAS登录页
        if (string.IsNullOrEmpty(ticket))
        {
            string redirectUrl = $"{casHost}login?service={Uri.EscapeDataString(service)}";
            Response.Redirect(redirectUrl);
            return;
        }

        // 校验ticket
        string username = ValidateTicket(casHost, ticket, service);
        if (string.IsNullOrEmpty(username))
        {
            Label1.Text = "抱歉！CAS认证失败，请重试！";
            HyperLink1.NavigateUrl = Request.Url.AbsolutePath;
        }
        else
        {
            // 写入Forms身份票据，完成本地登录
            FormsAuthentication.SetAuthCookie(username, false);
            // 跳转到目标页面
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

    /// <summary>
    /// CAS3.0 p3/serviceValidate 票据校验
    /// summary>
    private string ValidateTicket(string casHost, string ticket, string service)
    {
        // 新版CAS推荐使用 p3/serviceValidate（CAS3.0协议）
        string validateUrl = $"{casHost}p3/serviceValidate?ticket={Uri.EscapeDataString(ticket)}&service={Uri.EscapeDataString(service)}";

        // 本地测试：允许不受信任SSL证书（生产环境删除这段！）
        ServicePointManager.ServerCertificateValidationCallback += (s, cert, chain, err) => true;

        using var httpClient = new HttpClient();
        string xml = httpClient.GetStringAsync(validateUrl).Result;

        XmlDocument doc = new XmlDocument();
        doc.LoadXml(xml);
        XmlNamespaceManager nsMgr = new XmlNamespaceManager(doc.NameTable);
        // CAS3返回xml命名空间
        nsMgr.AddNamespace("cas", "http://www.yale.edu/tp/cas");

        // 查找用户节点
        XmlNode userNode = doc.SelectSingleNode("//cas:authenticationSuccess/cas:user", nsMgr);
        return userNode?.InnerText;
    }
}

安装

jack — Mon, 03 Aug 2026 00:51:59 +0000

旧版本安装-说明 CAS 5.0之前

CAS服务端基于Java语言开发，运行依赖两个核心环境：

JDK（Java开发工具包）：内置Java虚拟机(JVM)，用来执行Java程序，是运行基础。
Tomcat（Web容器）：用来部署运行CAS的war网页程序。

安装顺序规范：先安装JDK → 再安装Tomcat（Tomcat安装时会自动寻找本机JDK环境）

依赖

1. JDK

版本：（JDK）Java 17
直链：Java Downloads | Oracle

注意：JDK7属于老旧版本，仅适配老版本CAS；新项目不推荐使用。

2. Apache Tomcat

版本：Tomcat （Windows安装版）
Apache Tomcat® – Welcome!

安装流程

安装JDK
- 运行exe安装包，可自定义安装路径
- 【关键】安装完成后建议配置环境变量：JAVA_HOME、Path，方便Tomcat识别Java环境
安装Tomcat7
- 运行安装程序，安装过程中会自动扫描已安装好的JDK
- 可自定义Tomcat端口（默认8080）、设置管理账号密码
- 安装结束页面选项：
- Run Apache Tomcat：勾选则点击Finish后自动启动Tomcat服务
- Show Readme：可取消勾选，不需要查看说明文档
- 点击Finish完成安装

Tomcat配置SSL/HTTPS

核心背景：CAS协议强制要求服务端必须使用HTTPS，不能使用HTTP，所以必须为Tomcat配置SSL证书。

使用JDK自带 keytool 工具生成 JKS密钥库（自签名证书）
修改Tomcat conf/server.xml，开启SSL连接器
重启Tomcat，访问 https://localhost:8443 验证HTTPS

生成自签名证书（JKS）

前置准备

创建证书存放目录：示例 C:\Keys
管理员身份运行 cmd
> Windows7/10/11 如果直接普通cmd写入C盘根目录，会权限不足报错。
进入JDK/JRE的bin目录

cd "c:\Program Files\Java\jre\bin"

通用模板命令（新版JDK同样适用）

keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\Keys\.keystore -validity 36000

参数解释

参数	含义
`-genkey`	生成密钥对
`-alias tomcat`	证书别名，自定义
`-keyalg RSA`	加密算法，标准RSA
`-storepass changeit`	密钥库密码（务必记住，后面配置Tomcat要用）
`-keystore c:\Keys\.keystore`	证书文件输出路径
`-validity 36000`	证书有效期（天）

交互填写信息

执行命令后依次录入：

名字与姓氏：填写域名（学习环境随便填）
组织单位、组织、城市、省份、国家代码（cn）
确认信息输入 y
密钥口令：直接回车，和密钥库密码保持一致

查看证书命令

keytool -list -keystore "C:\Keys\.keystore"

输入密码，能正常输出信息代表证书生成成功。

Tomcat server.xml 配置SSL连接器

打开 Tomcat/conf/server.xml
找到被注释的SSL Connector，取消注释并修改证书路径、密码

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="C:\Keys\.keystore"
    keystorePass="changeit" />

参数说明

port="8443"：Tomcat默认HTTPS端口（标准HTTPS默认443，如需改成443要注意端口占用权限）
keystoreFile：你生成的证书文件绝对路径
keystorePass：上面keytool设置的密钥库密码
clientAuth="false"：不需要客户端证书（学习环境固定false）

验证方式

启动Tomcat，浏览器访问：
https://127.0.0.1:8443

自签名证书浏览器会提示“不安全”，属于正常现象；生产环境需要购买正规CA证书。

CAS安装 5.0+

1、资源获取

CAS 5.0+ 抛弃传统 war + Tomcat 模式，基于SpringBoot，独立可执行Jar，无需外置Tomcat

CAS服务端（Server）

CAS Initializr 在线生成部署包
https://casinitializr.apereo.org

2、CAS服务端部署操作流程

打开 CAS Initializr

选择 CAS Version：7.0.x（稳定最新版）
勾选基础模块：Core / Web / SSL
生成并下载 cas.war（或者直接生成独立 cas.jar）

两种打包模式任选其一：

模式A（推荐）：Standalone（独立Jar），内置Tomcat，开箱即用

模式B：传统War包，可部署至外置Tomcat（不推荐）

以【独立Jar模式】部署（主流方案）
1）下载得到 cas.jar
2）新建配置目录 ./etc/cas/config，创建配置文件 cas.properties
3）启动命令（Java17+ 必需环境）

java -jar cas.jar

端口与HTTPS说明
默认内置Tomcat端口：8443（HTTPS）
新版本默认强制HTTPS，和旧版本规范保持一致。

3、访问地址

https://127.0.0.1:8443/cas

介绍

jack — Mon, 03 Aug 2026 00:28:53 +0000

概念

1. CAS

CAS（Central Authentication Service，中央认证服务）
耶鲁大学发起、开源的 Web SSO（单点登录） 实现框架。

2. SSO（单点登录）

多个网站程序统一到唯一地址完成身份登录验证。

特征：应用间基于Web协议（HTTPS）通信，全局唯一登录入口

通俗理解：同一浏览器登录一次认证中心，访问所有信任站点无需重复登录

3. SSO体系三大角色

User：终端用户（浏览器）
Web应用（多个业务系统）
SSO认证中心（唯一）

4. SSO三大核心原则

所有账号登录操作统一在SSO认证中心执行；
认证中心提供机制，通知各个Web应用当前用户是否已认证；
认证中心与全部业务Web应用预先建立信任关系。

两大核心

CAS Server（认证服务端）

独立部署的Web程序，唯一认证中心
职责：接收账号密码、完成用户身份校验；签发票据（Ticket）、管理全局会话Cookie(TGC)

CAS Client（客户端，嵌入各个业务系统）

部署在各个业务Web应用内（一般以过滤器Filter形式实现）
职责：拦截受保护资源请求；未登录时，自动将浏览器重定向至CAS Server登录页面

流程

用户访问业务系统资源 → CAS Client拦截请求，检测请求中没有Service Ticket
Client将浏览器重定向到 CAS Server登录地址，并携带当前业务系统地址（Service）
用户在CAS服务端输入账号密码完成登录认证
- 登录成功：CAS Server向浏览器写入 TGC（Ticket Granting Cookie）全局会话Cookie
- 生成一次性票据：Service Ticket（ST）
CAS Server再次重定向浏览器，回到业务系统地址，URL参数带上 Ticket=xxx
业务系统CAS Client后台发起服务端请求，携带Service地址+Ticket，向CAS Server校验票据合法性
CAS Server校验票据有效，返回用户身份信息（用户名等）
校验通过，业务系统创建本地会话，用户正常访问页面

TGC作用：只要浏览器保留TGC Cookie，后续访问其他接入CAS的系统时，不会再弹出登录页面，自动完成单点登录。