CN113411324A - 基于cas与第三方服务器实现登录认证的方法和系统 - Google Patents

Abstract

本发明公开了一种基于CAS与第三方服务器实现登录认证的方法，CAS服务器将未通过认证的用户访问请求重定向到第三方服务器；第三方服务器向用户返回登录页面并接收用户发送的登录信息，对于登陆信息通过验证的，返回含有重定向到CAS服务器的信息给用户，用户重定向到CAS服务器；CAS服务器向第三方服务器验证用户是否通过认证，对于通过认证的，CAS服务器返回含有重定向到用户要访问的应用站点的信息给用户。本发明利用CAS和第三方服务器结合，能够解决现有技术中登录每个系统需要单独对接第三方认证的问题。

Description

基于CAS与第三方服务器实现登录认证的方法和系统

技术领域

本发明属于互联网登录认证领域，更具体地说，涉及一种基于CAS与第三方服务器实现登录认证的方法和系统。

背景技术

在企业信息化建设的过程中，往往针对不同的业务领域开发出越来越多的系统。每个系统都需要实现登录认证的部分，为了避免每个系统开发一套自己的认证模块，用户需要记忆每个系统的密码，给用户的使用带来很多不便，为此，业内有各种不同的解决办法。

如申请公布日为2020年9月22日，申请公布号为CN111694495A，专利名称为一种快速对接第三方APP平台的方法、系统和存储介质的中国专利公开了一种技术方案，包括如下步骤：提取各待对接第三方APP开放平台的共性，并根据所提取的共性形成接口并封装形成接口应用；该接口应用提供基于web访问的可视化的配置界面，用于配置各待对接第三方APP开放平台的接口参数及各用户所使用的系统的接入参数。该方法对各种APP的开放平台的接口进行统一的封装和转化并提供一套转化后的公用接口给具体应用来对接使用。

而更多的公司通过采用CAS中央认证服务(Central Authentication Service，CAS)来解决用户需要记忆每个系统的密码等问题，CAS是一种针对万维网的单点登录协议,其目的是允许一个用户访问多个应用程序，而只需提供一次凭证(如用户名和密码)。它还允许网络(web)应用程序在没有获得用户的安全凭据(如密码)的情况下对用户进行身份验证。“CAS”也指实现了该协议的软件包。因此，CAS认证框架被广泛应用于应用程序的登录过程中。其中，单点登录(Single Sign On，SSO)是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

如申请公布日为2019年3月15日，申请公布号为CN109472123A，专利名称为一种云服务集成第三方单点登录用户中心的方法及系统的中国专利提出了一种技术方案，包括：配置第三方CAS中心；登录服务申请第三方CAS中心发放ticket；验证第三方CAS中心ticket接口。与现有技术相比，该申请所提供的云服务集成第三方单点登录用户中心的方法及系统有单点登录用户中心的企业，要使用IT云服务，其用户只需要一套用户名密码即可实现企业内部系统和IT云服务的畅快使用；通过标准CAS协议，只需要在IT云服务配置一下，在链接IT云服务的URL里增加一个参数，即可实现企业单点登录((Single Sign On，SSO))后，自动单点登录IT云服务；由于采用的是标准CAS协议，只要是CAS协议的第三方单点登录用户中心均可通过配置实现集成。

申请公布日为2021年3月12日，申请公布号为CN112491881A，专利名称为跨平台单点登录方法、系统、电子设备及存储介质的中国专利提出了一种技术方案，包括：中央认证服务(CAS)服务器在接收到第一访问请求后，对用户信息进行认证；在接收到用户第二访问请求后，验证访问参数信息的正确性；随机生成字符串，对字符串和第二接入系统的应用密钥进行加密，得到第一加密签名，并将字符串发送至第二接入系统的服务器；上述服务器对接收的字符串和自身的应用密钥进行加密得到第二加密签名，并返回给CAS认证服务器；CAS认证系统验证第一加密签名和第二加密签名是否一致，在一致时，将用户信息发送至服务器；第二接入系统的服务器对用户身份及权限进行验证，通过后，向用户返回与第二访问请求对应的响应。

申请公布日为2021年3月9日，申请公布号为CN112468481A，专利名称为一种基于CAS的单页和多页web应用身份集成认证方法的中国专利提出了一种技术方案，将CAS身份认证服务(CAS服务端)重写用户身份认证策略并对返回认证用户信息进行灵活配置附加JWT token属性：提出一种不需要单页web应用后端API服务端再保存用户登录状态，通过调用CAS身份认证服务API接口检验JWT token的实现认证，并且是能够同时满足基于session的多页web应用和基于JWT的单页web应用进行集成身份认证:本发明能够降低应用系统与CAS身份认证系统集成的相合度，并解决访问跨域问题，实现单点登录功能，保证能够同时满足基于session的多页web应用和基于JWT的单页web应用进行集成身份认证方法，顺利实现对不同类型的应用系统进行统一身份认证。

但是，随着系统数量的增多，还是存在一些问题，如：每个系统需要单独对接第三方认证，用户登录各个系统时都需要去认证，例如刚登录了A系统，再登录B时需要再次认证，给用户的使用带来极大不便；此外还无法解决应用内嵌的问题。

发明内容

1.要解决的问题

针对现有技术中存在的每个系统需要单独对接第三方认证，用户登录各个系统时都需要去认证，以及无法解决应用内嵌等技术问题，本发明提供一种基于CAS技术与第三方服务器实现登录认证的方法。

2.技术方案

为了解决上述问题，本发明所采用的技术方案如下：

一种基于CAS与第三方服务器实现登录认证的方法，包括以下步骤：

S1、CAS服务器将未通过认证的用户访问请求重定向到第三方服务器；

S2、第三方服务器向用户返回登录页面并接收用户发送的登录信息，对于登陆信息通过验证的，返回含有重定向到CAS服务器的信息给用户，用户重定向到CAS服务器；

S3、CAS服务器向第三方服务器验证用户是否通过认证，对于通过认证的，CAS服务器返回含有重定向到用户要访问的应用站点的信息给用户。

本发明将CAS技术与第三方服务器结合起来，由第三方服务器负责管理用户信息和验证用户传输过来的用户信息是否正确，由CAS服务器负责与应用站点对接，向应用站点反馈用户认证结果，可以在仅维护一套用户信息的情况下，实现多个应用站点的登录认证。对于现有的各个公司、机构等具有多个内部管理系统、需要维护多个用户信息(即每个管理系统保存一套用户名密码)的情况下，利用本发明可以很容易地改造这些系统，使得内部人员管理变得非常简单，无需同时维护多个系统的用户名密码，避免人员入离职造成的信息管理混乱。第三方服务器可以采用飞书系统、微信系统、QQ系统等，也可以自行维护一套实现用户登录认证的系统。

进一步地，所述步骤S1中，CAS服务器先在本地验证用户是否通过认证，如果没有通过认证，将未通过认证的用户访问请求重定向到第三方服务器。在用户首次认证通过后，CAS服务器会存储该用户的认证信息，该认证信息超过规定的时间后，会从CAS服务器删除，如此设置，可以避免CAS服务器频繁地向第三方服务器验证用户是否通过认证。

进一步地，在所述步骤S1之前，应用站点收到用户的访问请求后，先在本地验证用户是否通过认证，如果通过认证，则按照正常流程返回页面信息给用户，否则，返回含有重定向到CAS服务器的信息给用户，用户重定向到CAS服务器。对于用户来说，其浏览器请求访问应用站点，应用站点需要核实该用户有没有通过认证，为避免应用站点频繁地向CAS服务器验证用户是否通过认证，当用户首次认证通过后，应用站点存储用户的认证信息，该认证信息超过规定的时间后，会从应用站点删除。

进一步地，当用户通过认证后，所述用户请求访问第二应用站点时，第二应用站点向CAS服务器验证用户是否通过认证，验证通过后，第二应用站点按正常流程返回页面信息给用户，也就是说，对于同一个用户来说，首次通过认证后，该用户可以访问基于同一第三方服务器登录认证的其他应用站点，不用再重新输入用户名密码等信息。或者，验证通过后，第二应用站点向用户返回含有重定向到第二应用站点的信息给用户，该重定向到第二应用站点的信息中包括用户认证信息，第二应用站点通过返回用户认证信息的方式，使得用户与第二应用站点都保存有同一认证信息，以便该用户在允许的时间内再次访问第二应用站点时，不必再向CAS服务器申请验证。本发明可以解决页面内嵌的问题，即，应用站点的页面中嵌有第二应用站点的页面，当用户通过认证后，第二应用站点直接通过CAS服务器验证，返回正常的页面显示即可，不会在嵌套的第二应用站点的页面中显示登陆界面。

进一步地，第二应用站点向CAS服务器验证用户是否通过认证时，CAS服务器先在本地验证用户是否通过认证，如果未通过认证，再向第三方服务器验证，或者，CAS服务器直接向第三方服务器验证用户是否通过认证。也就是说，当CAS服务器存储通过认证的用户认证信息，不必再向第三方服务器验证，除非该用户之前没有通过认证。当然，CAS服务器也可以每次都去第三方服务器验证。

进一步地，在所述步骤S3之后，还包括，应用站点收到用户设备的访问请求后，向CAS服务器验证用户设备是否通过认证，验证通过后，向用户设备返回含有重定向到应用站点的信息给用户设备，该重定向到应用站点的信息中包括用户设备认证信息。应用站点通过返回用户认证信息的方式，使得用户与应用站点都保存有同一认证信息，以便该用户在允许的时间内再次访问第二应用站点时，不必再向CAS服务器申请验证。

进一步地，所述步骤S2中，重定向到CAS服务器的信息中包括用户设备认证信息；和/或，所述步骤S3中，重定向到用户要访问的应用站点的信息中包括用户设备认证信息。

本发明还提供一种基于CAS与第三方服务器实现登录认证的系统，包括CAS服务器和第三方服务器；其中，

CAS服务器用于将未通过认证的用户访问请求重定向到第三方服务器，

第三方服务器用于向用户返回登录页面并接收用户发送的登录信息，对于登陆信息通过验证的，返回含有重定向到CAS服务器的信息给用户；

CAS服务器还用于向第三方服务器验证用户是否通过认证，对于通过认证的，CAS服务器返回含有重定向到用户要访问的应用站点的信息给用户。

进一步地，CAS服务器先在本地验证用户是否通过认证，如果没有通过认证，将未通过认证的用户访问请求重定向到第三方服务器。

进一步地，对于通过认证的用户，CAS服务器在本地存储用户认证信息，并且返回给用户的含有重定向到用户要访问的应用站点的信息中，包括用户认证信息。

3.有益效果

相比于现有技术，本发明的有益效果为：

(1)本发明能够解决现有技术中因为存在多个系统需要重复登录的问题，用户不需要记忆多套用户名密码，统一使用第三方系统的用户名密码即可；如果第三方系统提供扫码登录、短信验证登录等常见方式的话，登录认证将变得更加简单；

(2)本发明采用CAS技术与第三方服务相结合，若干个应用都通过同一个CAS服务器登录，能够解决应用内嵌的问题。

附图说明

图1为现有技术中CAS单点登录的流程图；

图2为本发明的流程图。

具体实施方式

下面结合具体实施例对本发明进一步进行描述。

标准的CAS协议流程图如图1所示，具体步骤为：

1、用户在浏览器中输入准备访问的应用系统的网址，在本实施例中，以应用1为例来进行说明，则用户要访问的应用1的网址为：https://www.app1.com/；

2、浏览器向应用服务器发起HTTP请求，GET https://www.app1.com/；

3、如果应用服务器检测到当前用户未登录，需要跳转到CAS服务器进行登录操作，返回HTTP重定向报文：HTTP 302Location:https://www.cas-server.com/login？service＝https％3A％2F％2Fwww.app1.com％3A，其中，https://www.cas-server.com是CAS服务器的地址，同时将自己的地址https://www.app1.com/作为service参数，以便进行URL编码；

4、浏览器收到重定向请求，发起HTTP请求GET https://www.cas-server.com/login？service＝https％3A％2F％2Fwww.app1.com％2F跳转到CAS服务器；

5、如果CAS服务器检测到当前用户未登录，则返回一个用户名、密码登录的表单给浏览器供用户登录。

6、浏览器收到Token验证请求，验证合法后，提交登录请求给CAS服务器；

7、CAS服务器认为此时已经登录成功，返回跳转请求给浏览器；以便CAS服务器设置Session，后续其网站登录时只要Session没过期，即可跳过验证步骤，所以这里返回的信息中包括以下一些信息：

a.Header里有Set-Cookie:CAS-TGC＝TCT123456，作为CAS的session信息；

b.生成一个Ticket，作为本次登录的鉴权标识，例如ST-1235678；

c.返回HTTP 302Location:https://www.app1.com/？ticket＝ST-12345678，ticket参数为上述的Ticket(ST-1235678)。

8、浏览器收到响应后，设置Cookie CAS-TGC＝TCT123456，然后跳转到https://www.app1.com/？ticket＝ST-12345678；

9、应用服务器收到请求后，需要验证ticket是否正确，防止伪造，按照CAS协议，请求CAS服务器如下地址，参数中需要携带两项信息，ticket(即参数中的ticekt)，service为当前应用的地址：https://www.cas-server.com/serviceValidate？service＝https％3A％2F％2Fwww.app1.com％2F&ticket＝ST12345678；

10、CAS服务器进行验证，service Validate地址收到验证请求后，对比ticket和service，确认无误后，返回用户信息；

11、应用服务器此时已获取到登录用户的信息，认为登录成功，需要设置自己的Session信息，然后跳转到用户初次发起请求的页面。返回如下信息Set-Cookie:JSESSION＝ABC123456(设置Session)HTTP 302Location:https://www.app1.com/；

13、浏览器设置Session Cookie，然后跳转到Location指定的页面，此时Cookie中携带刚设置的JSESSION；应用服务器收到请求，验证Session有效，是合法的登录用户，返回请求的页面；

14、浏览器收到返回的页面并进行显示，此时整个流程完成。

本发明采用基于CAS技术与第三方服务器实现登录认证，如图2所示，本发明的具体步骤为：

1、用户在浏览器中输入准备访问的应用系统的网址，在本实施例中，以应用1为例来进行说明，则用户要访问的应用1的网址为：https://www.app1.com/；

2、浏览器向应用服务器发起HTTP请求，GET https://www.app1.com/；

3、如果应用服务器检测到当前用户未登录，需要跳转到CAS服务器进行登录操作，返回HTTP重定向报文：HTTP 302Location:https://www.cas-server.com/login？service＝https％3A％2F％2Fwww.app1.com％3A，其中，https://www.cas-server.com是CAS服务器的地址，同时将自己的地址https://www.app1.com/作为service参数，以便进行URL编码；

4、浏览器收到重定向请求，发起HTTP请求GET https://www.cas-server.com/login？service＝https％3A％2F％2Fwww.app1.com％2F跳转到CAS服务器。以上4步是标准的CAS Server登录的一个流程；

5、如果CAS服务器检测到当前用户未登录，按照标准的CAS服务器实现，这里应该返回一个用户名、密码登录的表单供用户登录。在本发明中，需要跳转到第三方登录页面，CAS服务器返回302重定向请求。在本实施例中，第三方服务系统以飞书(www.feishu.cn)为例,具体实施时，第三方服务系统可以是钉钉等支持第三方登录的系统。URL(统一资源定位系统，uniform resource locator)详细说明如下：第三方登录都需要传递回调地址(即登录成功后跳转回来的URL)，一般以redirect_url传递，这里需要登录成功后再次跳回CAS服务器的一个地址进行验证，例如https://www.cas-server.com/callback,另外需要注意是的我们需要把/login接收到的service再次传回call_back,即访问call_back的URL应该是https://www.cas-server.com/callback？service＝http％3A％2F％2Fwww.app1.com％2F,然后把这个地址URL编码后作为redirect_url的参数传递给三方登录地址，所以完整的URL是https://www.feishu.cn/login？redict_url＝https％3A％2F％2Fwww.cas-server.com％2Fcall_back％3Fservice％3Dhttps％253A％252F％252Fwww.app1.com％252F；

6、浏览器收到重定向响应后，跳转到第三方登录的地址，即https://www.feishu.cn/login？redict_url＝https％3A％2F％2Fwww.cas-server.com％2Fcall_back％3Fservice％3Dhttps％253A％252F％252Fwww.app1.com％252F；

7、第三方服务器收到登录请求，返回给浏览器一个登录页面。具体展现形式由底三方服务决定，一般提供多种登录方式，例如用户名+密码，或者扫码登录等方式。第三方登录服务一般会在返回的URL中携带收到的redirect_url；

8、此时在浏览器上显示第三方服务的登录页面；

9、用户在第三方服务的登录页面进行登录，具体可采用输入用户名密码或者扫码的方式；

10、浏览器将用户的登录信息提交到第三方服务器,同时将跳转请求redirect_url通过网址或者其他方式提交给第三方服务器；

11、第三方服务器验证登录信息正确后，返回给浏览器一个跳转请求，该跳转请求同时还携带一定的token信息，由浏览器来进行跳转，https://www.cas-server.com/call_back？service＝https％3A％2F％2Fwww.app1.com％2F&token＝123456，返回HTTP重定向为上述地址；

12、浏览器收到上述，请求跳转到CAS服务器的地址，https://www.cas-server.com？service＝https％3A％2F％2Fwww.app1.com/％2F&token＝123456；

13、CAS服务器收到上述请求后，需要验证token是否合法，防止伪造，因此需要向第三方服务器发起验证请求，确认参数中的token是否合法；具体实施时由CAS服务器的callback地址来进行token的合法性验证；

14、第三方服务器收到Token验证请求，验证合法后，返回给CAS服务器；

15、CAS服务器此时认为已经登录成功，从这里开始后续步骤都是标准的CAS流程。CAS服务器自身也要设置Session，后续其网站登录时只要Session没过期，即可跳过验证步骤，所以这里返回的信息中包括以下一些信息：

a.Header里有Set-Cookie:CAS-TGC＝TCT123456，作为CAS的session信息；

b.生成一个Ticket，作为本次登录的鉴权标识，例如ST-1235678；

c.返回HTTP 302Location:https://www.app1.com/？ticket＝ST-12345678，ticket参数为上述的Ticket(ST-1235678)。

16、浏览器收到响应后，设置Cookie CAS-TGC＝TCT123456，然后跳转到https://www.app1.com/？ticket＝ST-12345678；

17、应用服务器收到请求后，需要验证ticket是否正确，防止伪造，按照CAS协议，请求CAS服务器如下地址，参数中需要携带两项信息，ticket(即参数中的ticket)，service为当前应用的地址：

https://www.cas-server.com/serviceValidate？service＝https％3A％2F％2Fwww.app1.com％2F&ticket＝ST-12345678；

18、CAS服务器进行验证，service Validate地址收到验证请求后，对比ticket和service，确认无误后，返回用户信息；

19、应用服务器此时已获取到登录用户的信息，登录成功。为了便于登录成功后续再继续访问应用不需在此验证，还需要设置自己的Session信息，然后跳转到用户初次发起请求的页面。具体为：返回给用户初次发起请求的浏览器页面的信息Set-Cookie:JSESSION＝ABC123456(设置Session)HTTP 302Location:https://www.app1.com/(即重定向跳转到应用站点1)；

20、浏览器设置Session Cookie，然后跳转到上述HTTP 302Location指定的页面，在本实施例中为应用站点1，此时Cookie中携带上述步骤中设置的Session信息；

21、应用服务器收到浏览器的请求，验证Session信息有效，认为是合法的登录用户，返回请求的页面；

22、浏览器收到返回的页面并进行显示，此时整个流程完成。

下面简要说一下前文所述的第3步中应用站点检测用户是否登录的方法。正如步骤17、18、19所描述的，应用站点通过步骤17、18、19实现存储已经通过认证的用户的认证信息，所以，应用站点收到用户的访问请求后，先验证Session，如果验证没通过，则返回重定向到CAS服务器的信息给用户。

另外，再介绍下应用站点2的访问，当用户已经在访问应用站点1的过程中通过登录认证，用户请求访问应用站点2时，应用站点2首先在本地验证该用户是否通过认证，如果本地验证没通过，则应用站点2如步骤17所述的方式向CAS服务器发起验证请求，CAS服务器在本地验证用户是否通过认证，由于用户已经通过认证，所以，CAS服务器按照步骤18返回验证结果给应用站点2，然后，应用站点2与用户之间按照步骤19、20、21完成认证信息的交互，应用站点2建立本地Session，以便后续在本地认证。当应用站点1的页面中嵌套有应用站点2的页面时，可以直接通过CAS服务器实现认证，避免在浏览器界面中弹出应用站点2的登录认证页面。

本发明不仅解决了现有技术中因为存在多个系统需要重复登录的问题，而且用户不需要记忆多套用户名密码，统一使用第三方系统的用户名密码即可，如果第三方系统提供扫码登录、短信验证登录等常见方式的话，登录认证将变得更加简单。

Claims (10)

1.一种基于CAS与第三方服务器实现登录认证的方法，其特征在于：包括以下步骤：

S1、CAS服务器将未通过认证的用户访问请求重定向到第三方服务器；

S2、第三方服务器向用户返回登录页面并接收用户发送的登录信息，对于登陆信息通过验证的，返回含有重定向到CAS服务器的信息给用户，用户重定向到CAS服务器；

S3、CAS服务器向第三方服务器验证用户是否通过认证，对于通过认证的，CAS服务器返回含有重定向到用户要访问的应用站点的信息给用户。

2.根据权利要求1所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：所述步骤S1中，CAS服务器先在本地验证用户是否通过认证，如果没有通过认证，将未通过认证的用户访问请求重定向到第三方服务器。

3.根据权利要求1所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：在所述步骤S1之前，应用站点收到用户的访问请求后，先在本地验证用户是否通过认证，如果通过认证，则按照正常流程返回页面信息给用户，否则，返回含有重定向到CAS服务器的信息给用户，用户重定向到CAS服务器。

4.根据权利要求1所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：当用户通过认证后，所述用户请求访问第二应用站点时，第二应用站点向CAS服务器验证用户是否通过认证，验证通过后，第二应用站点按正常流程返回页面信息给用户，或者，验证通过后，第二应用站点向用户返回含有重定向到第二应用站点的信息给用户，该重定向到第二应用站点的信息中包括用户认证信息。

5.根据权利要求4所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：第二应用站点向CAS服务器验证用户是否通过认证时，CAS服务器先在本地验证用户是否通过认证，如果未通过认证，再向第三方服务器验证，或者，CAS服务器直接向第三方服务器验证用户是否通过认证。

6.根据权利要求1所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：在所述步骤S3之后，还包括，应用站点收到用户的访问请求后，向CAS服务器验证用户是否通过认证，验证通过后，向用户返回含有重定向到应用站点的信息给用户，该重定向到应用站点的信息中包括用户认证信息。

7.根据权利要求1所述的基于CAS与第三方服务器实现登录认证的方法，其特征在于：所述步骤S2中，重定向到CAS服务器的信息中包括用户认证信息；和/或，所述步骤S3中，重定向到用户要访问的应用站点的信息中包括用户认证信息。

8.一种基于CAS与第三方服务器实现登录认证的系统，其特征在于：包括CAS服务器和第三方服务器；其中，

CAS服务器用于将未通过认证的用户访问请求重定向到第三方服务器，

第三方服务器用于向用户返回登录页面并接收用户发送的登录信息，对于登陆信息通过验证的，返回含有重定向到CAS服务器的信息给用户；

CAS服务器还用于向第三方服务器验证用户是否通过认证，对于通过认证的，CAS服务器返回含有重定向到用户要访问的应用站点的信息给用户。

9.根据权利要求8所述的基于CAS与第三方服务器实现登录认证的系统，其特征在于：CAS服务器先在本地验证用户是否通过认证，如果没有通过认证，将未通过认证的用户访问请求重定向到第三方服务器。

10.根据权利要求8所述的基于CAS与第三方服务器实现登录认证的系统，其特征在于：对于通过认证的用户，CAS服务器在本地存储用户认证信息，并且返回给用户的含有重定向到用户要访问的应用站点的信息中，包括用户认证信息。

Images