CN112468481A - 一种基于CAS的单页和多页web应用身份集成认证方法 - Google Patents

Abstract

一种基于CAS的单页和多页web应用身份集成认证方法，将CAS身份认证服务(CAS服务端)重写用户身份认证策略并对返回认证用户信息进行灵活配置附加JWT token属性；提出一种不需要单页web应用后端API服务端再保存用户登录状态，通过调用CAS身份认证服务API接口检验JWT token的实现认证，并且是能够同时满足基于session的多页web应用和基于JWT的单页web应用进行集成身份认证；本发明能够降低应用系统与CAS身份认证系统集成的耦合度，并解决访问跨域问题，实现单点登录功能，保证能够同时满足基于session的多页web应用和基于JWT的单页web应用进行集成身份认证方法，顺利实现对不同类型的应用系统进行统一身份认证。

Description

一种基于CAS的单页和多页web应用身份集成认证方法

技术领域

本发明涉及身份集成认证技术领域，特别涉及一种基于CAS的单页和多页web应用身份集成认证方法。

背景技术

在企业信息化建设过程中，针对不同的业务开发出了多个应用系统，并且应用系统的类型也是多元化，既有C/S架构的应用也有B/S架构的应用。为了避免用户在访问不同系统时，都要输入用户信息进行身份认证，对用户体验造成影响，特提出了单点登录身份认证概念。各个业务应用系统都通过CAS进行统一身份认证，用户只需要登录一次就可以访问所有相互信任的系统，不仅提升了系统易用性，同时也为业务系统间的数据整合提供了基础。

多页web应用系统集成在统一身份认证CAS系统上，CAS身份认证服务创建一个cookie，在所有web应用认证时使用，各个多页web应用系统都需要在各自本地创建各自session会话来标识当前用户登录状态信息。用户在任何一个web应用验证通过后，以后用户在同一浏览器里访问此应用时，客户端应用中的过滤器在session里读取到用户信息，所以就不去CAS身份认证服务认证。如果在此浏览器里访问其它的web应用时，客户端应用中的过滤器在session里读取不到用户信息，就去CAS身份认证服务的login接口认证，但这时CAS身份认证服务读取到浏览器传来的cookie中的TGC(CAS身份认证服务签发认证的ticket即TGT在session中的唯一标识)，所以CAS身份认证服务不会要求用户去登录页面登录，只是根据请求CAS身份认证服务时的参数生成一个Service Ticket，然后再和多页web应用进行Service Ticket的验证并交互。这是一种基于session用户状态跟踪身份认证。

随着开发技术的发展，微服务化架构应用越来越多，应用系统采用前后端分离的模式也随之常见，客户端采用具有良好交互体验的单页web应用(前端)，服务端只需要提供RESTful API,客户端通过JWT凭据调用服务端的API实现数据交互，是一种基于JWT无状态身份认证。

在传统的CAS身份认证集成模式下，多页web应用系统都已集成在统一身份认证CAS系统上，通过各自本地session中跟踪用户登录状态，这种模式对于采用前后端分离的单页web应用来说：单面web应用前端和后端API服务两者各自都必须保存用户登录状态，这样实施就产生诸多难题:

(1)增加了前后端必须保持用户登录状态的同步性的开发难度。

(2)单页web应用前端和后端API服务端有可能不在同一域中，会带来访问跨域的问题。

(3)单页web应用通过JWT凭据调用服务端的API实现数据交互，是基于JWT无状态身份认证的与基于session用户状态跟踪身份认证相冲突。

(4)很难将基于session的多页web应用和基于JWT的单页web应用同时集成身份认证。

发明内容

为了克服上述现有技术存在的缺点，本发明的目的在于提供一种基于CAS的单页和多页web应用身份集成认证方法，能够降低应用系统与CAS身份认证系统集成的耦合度，并解决访问跨域问题，实现单点登录功能，保证能够同时满足基于session的多页web应用和基于JWT的单页web应用进行集成身份认证方法，顺利实现对不同类型的应用系统进行统一身份认证。

为了达到上述目的，本发明所采用的技术方案如下：

一种基于CAS的单页和多页web应用身份集成认证方法，包括以下步骤：

步骤A：用户通过浏览器访问web应用时，基于session的多页web判断session中是否存在登录用户状态；而基于JWT的单页web应用的前端需要从LocalStorage判断有无JWTtoken,如果都不存在则重定向CAS身份认证服务的登录页面，需要传递参数service来标识当前需要CAS认证web应用的URL；

步骤B：在登录页面内用户输入账户信息登陆web应用时，只需要传递参数service重定向CAS服务进行身份认证,身份认证成功后，CAS服务再创建会话跟踪生成TGT票据，结合当前登录用户的基本信息对象附加生成JWT token，然后在CAS身份认证服务中配置认证返回的数据格式，默认定义为用户信息中的属性字段和JWT token并存的模式；

步骤C：CAS身份认证服务根据步骤A中从请求中获取web应用传递过来service参数对应的URL，并向web应用签发访问许可的service票据也就是ST作为参数ticket的值，重定向到URL对应的web应用；web应用如果是基于session的多页应用，将获取到的ST在本地调用CAS client API进行校验并通过用户属性字段获取登录用户的基本信息，保存至本地session中，通过session会话跟踪登录用户状态进行鉴权；web应用如果基于JWT的单页web应用前端，将获取到的ST和service的URL一并作为参数调用单页web应用后端API,获取包含登录用户的基本信息的JWT token，并将token保存LocalStorage中，通过单页web应用API端,API服务端接口从请求中接收到ST和service，调用CAS client中CAS30ServiceTicketValidator的API校验并返回含有当前登录用户基本上信息的JWTtoken，后续单页web应用前端请求API服务接口时，将请求头(Heard)携带JWT,进行鉴权；如果鉴权失败，API会返回错误信息，否则返回单页web应用前端请求对应的业务数据；

步骤D：用户退出访问web应用时，实现单点退出功能，基于session的多页应用，需要将本地session中当前登录用户信息清空；而基于单页web应用前端也必须删除保存在本地LocalStorage中的JWT token，然后通过请求重定向CAS身份认证服务的logout退出地址，销毁CAS服务对应的TGT票据，此时所有集成在CAS身份认证服务上的应用都会处于登出状态。

本发明的有益效果是：整合基于session的多页web应用和基于JWT的单页web应用集成统一身份认证时，只需要携带CAS发放给service的票据ST，就可以实现单点登录功能。尤其针对基于JWT的单页web应用API服务端不需要再保存用户登录状态，使用JWT进行鉴权，很好解决了跨域访问的问题；JWT自身带有效期，失效后，CAS服务会根据会话中的TGT，进行重新刷新JWT，增加系统的安全性。

附图说明

图1是基于session的多页web应用与CAS交互过程时序图。

图2是基于JWT的单页web应用与CAS交互过程时序图。

具体实施方式

下面结合具体实施方式和附图对本发明作进一步详细说明。

本发明提出了一种基于CAS的单页和多页web应用身份集成认证方法。为了满足不同应用(CAS客户端)端的多种整合方案并对认证用户信息的不同数据格式要求，将CAS身份认证服务(CAS服务端)重写用户身份认证策略并对返回认证用户信息进行灵活配置附加JWT token属性。大大降低应用系统与CAS身份认证系统集成的耦合度；既保证基于session的多页web应用系统能够顺利集成CAS身份认证，还不会影响到基于JWT的单页web应用系统的身份认证集成。明确给出了传统web应用和前后端分离的单页web应用共同集成身份认证，避免单页web应用和API服务部署不在同域名下，集成CAS身份认证系统所带来的跨域请求的问题。还提出一种不需要单页web应用后端API服务端再保存用户登录状态，通过调用CAS身份认证服务API接口检验JWT token的实现认证，避免集成系统进行高耦合行为；保证用户敏感信息的安全性。

结合web应用集成CAS身份认证的流程图，阐述具体实践步骤如下：

步骤A：发送CAS身份认证的web应用请求，定义返回数据格式：

用户通过浏览器访问web应用时，基于session的多页web会判断session中是否存在登录用户状态；而基于JWT的单页web应用的前端(即单页html)需要从LocalStorage判断有无JWT token,如果都不存在则重定向CAS身份认证服务的登录页面，需要传递参数service来标识当前需要CAS认证web应用的URL，向CAS身份认证服务发出web身份认证请求。

步骤B：CAS Service处理web身份认证请求，在默认的认证策略基础上，除用户名和密码外，增加验证码，防止恶意攻击强行破解密码登录；用户在登录页面输入账户信息(账号、密码、验证码)登陆web应用时，通过身份认证策略，认证成功后，CAS Service再创建会话跟踪生成TGT票据，并定义包含用户ID，账号、姓名，类型、状态、邮箱、电话、性别等用户信息视图对象；也可采用创建JWT工具类，其中创建JWT时，头部类型为JWT，算法采用HS256加密；过期时间默认为3600秒；载荷为上一步骤“用户信息视图”的JSON格式的文本内容。最后配置认证策略返回的数据格式，分三种格式处理：

(1)用户信息视图对象为了满足基于session的多页web应用。(具体见步骤C的1.1-1.5)。

(2)JWT token数据格式为了满足基于JWT的单页web应用。(具体见步骤C的2.1-2.6)。

(3)用户信息视图对象和JWT token并存的数据格式同时满足多页和单页web应用集成的认证。(具体见步骤D)。

本方法返回的数据格式默认返回为用户信息视图对象的属性字段和JWT token并存的格式。

步骤C、CAS身份认证服务根据步骤A中从请求中获取web应用传递过来service参数对应的URL，并向web应用签发访问许可的service票据也就是ST作为参数ticket的值，重定向到URL对应的web应用，结合附图1，web应用如果是基于session的多页应用，具体步骤如下：

步骤1.1：用户访问web应用系统资源，过滤无身份认证的请求。

步骤1.2：转向CAS身份认证服务器登录页面进行登录。

步骤1.3：用户提供了用户名/密码等凭证(Credentials)，认证成功后，CAS生成cookie(TGC)，写入浏览器，同时生成一个TGT对象，再根据TGT发放票据ST(ServiceTicket)，并且重定向web应用系统附加ticket。

步骤1.4：web应用系统以ticket为参数，将获取到的ST在本地调用CAS clientAPI进行校验并通过用户属性字段获取登录用户的基本信息，保存至本地session中，通过session会话跟踪登录用户状态进行鉴权,并调用CAS身份认证服务API进行有效性的校验。

步骤1.5：CAS身份认证服务验证ticket合法后，返回“用户信息视图”给web应用系统，web应用系统在本地创建session会话保存并跟踪用户的登录状态，实现了基于session的多页web应用系统集成CAS身份认证方法。

结合附图2，如果基于JWT的单页web应用前端，返回JWT token数据格式满足基于JWT的单页web应用系统集成CAS身份认证，具体步骤如下：

步骤2.1：用户通过浏览器向单面web应用前端发起请求，web应用前端验证本地LocalStorage中JWT token是否合法,如果未存在JWT token或者不合法，然后跳转至CAS身份认证服务登录页面，并通过参数service传递CAS身份认证服务器认证通过后回调的URL地址(默认单面web应用前端UI的地址)。

步骤2.2：CAS身份认证服务对发送的过来的请求进行判断是否登录，已登录直接转向请求参数service的URL地址，否则转向身份认证服务的登录页面。

步骤2.3：用户提供了用户名/密码/验证码等凭证(Credentials)，认证成功后，CAS生成cookie(叫TGC)，写入浏览器，同时生成一个TGT对象，再根据TGT发放票据ST(Service Ticket)，并且重定向参数service传递过来的URL地址，并将ST对应的值通过参数ticket附加请求参数中。

步骤2.4：单页web应用前端从请求路径中得到对数ticket对应的ST的值，由ST的值和service参数对应的URL的值一并作为参数调用单页web应用后端API,获取CAS身份认证服务中TGT对应的JWT token.

步骤2.5：单页web应用后端通过ST的值和service参数对应的URL的值调用CAS身份认证服务进行身份认证，认证通过后获取JWT token，并返回给单页web应用前端。

步骤2.6：单页web应用前端通过单页web应用后端API调用CAS client中CAS30ServiceTicketValidator的API校验并返回含有当前登录用户基本上信息的JWTtoken。获得JWT token后存储在LocalStorage中，在后续的API请求中传递JWT token，后续单页web应用前端请求API服务接口时，将请求头(Heard)携带JWT,进行鉴权；如果鉴权失败，API会返回错误信息，否则返回单页web应用前端请求对应的业务数据，从而实现基于JWT的单页web应用系统集成CAS身份认证的方法。

步骤D：用户退出访问web应用，针对基于session的多页web应用，将参数service的URL地址重定向CAS Service logout地址，并将本地session中当前登录用户信息清空，实现用户安全退出；而基于单页web应用前端也必须删除保存在本地LocalStorage中的JWTtoken信，然后通过参数service请求重定向CAS Service的logout退出地址，此时所有集成在CAS身份认证服务上的所有应用都会处于登出状态，实现单点退出功能。

本发明基于session会话的多页web应用和基于JWT的单面web应用同时实现身份认证集成方法，既解决了整合基于session的多页web应用和基于JWT的单页web应用集成统一身份认证的问题；也解决了基于JWT的单页web应用集成CAS服务的问题。单页web应用API服务端不在需要保存用户登录状态，统一由CAS身份认证服务进行保存跟踪，通过service和ST参数中获取JWT token进行API级别上的鉴权。CAS服务根据当前登录用户信息，SECREY_KEY，和到期时间，使用HS256算法加密生成JWT。后续再进一步在基于JWT的单页web应用请求API服务接口时，对业务数据进行加密签名，将HS256算法替换成RS256算法，整个集成就大大增强了系统安全性。

Claims (1)

1.一种基于CAS的单页和多页web应用身份集成认证方法，其特征在于，包括以下步骤：

步骤A：用户通过浏览器访问web应用时，基于session的多页web会判断session中是否存在登录用户状态；而基于JWT的单页web应用的前端需要从LocalStorage判断有无JWTtoken,如果都不存在则重定向CAS身份认证服务的登录页面，需要传递参数service来标识当前需要CAS认证web应用的URL；

步骤B：在登录页面内用户输入账户信息登陆web应用时，只需要传递参数service重定向CAS服务进行身份认证,身份认证成功后，CAS服务再创建会话跟踪生成TGT票据，结合当前登录用户的基本信息对象附加生成JWT token，然后在CAS身份认证服务中配置认证返回的数据格式，默认定义为用户信息中的属性字段和JWT token并存的模式；

步骤C：CAS身份认证服务根据步骤A中从请求中获取web应用传递过来service参数对应的URL，并向web应用签发访问许可的service票据也就是ST作为参数ticket的值，重定向到URL对应的web应用；web应用如果是基于session的多页应用，将获取到的ST在本地调用CAS client API进行校验并通过用户属性字段获取登录用户的基本信息，保存至本地session中，通过session会话跟踪登录用户状态进行鉴权；web应用如果基于JWT的单页web应用前端，将获取到的ST和service的URL一并作为参数调用单页web应用后端API,获取包含登录用户的基本信息的JWT token，并将token保存LocalStorage中，通过单页web应用API端,API服务端接口从请求中接收到ST和service，调用CAS client中CAS30ServiceTicketValidator的API校验并返回含有当前登录用户基本上信息的JWTtoken；后续单页web应用前端请求API服务接口时，将请求头(Heard)携带JWT,进行鉴权；如果鉴权失败，API会返回错误信息；否则返回单页web应用前端请求对应的业务数据；

步骤D：用户退出访问web应用时，实现单点退出功能，基于session的多页应用，需要将本地session中当前登录用户信息清空；而基于单页web应用前端也必须删除保存在本地LocalStorage中的JWT token，然后通过请求重定向CAS身份认证服务的logout退出地址，销毁CAS服务对应的TGT票据，此时所有集成在CAS身份认证服务上的应用都会处于登出状态。

Images