CAS 的安装与配置

iServer 、iPortal 及 iEdge 支持基于 CAS 的单点登录。CAS（Central Authentication Service）是 Yale 大学发起的构建 Web SSO 的 Java 开源项目。用户配置单点登录时，需设置 CAS 认证服务器，CAS 认证服务器负责完成对用户信息的认定，可单独部署于网络环境中。配置使用 CAS 单点登录的过程具体请详见配置使用 CAS 单点登录。

要使用 CAS 单点登录，首先需要搭建 CAS 服务，这里主要介绍 CAS 3.X、CAS 4.X 和 CAS 5.X 的配置方法。

配置 CAS 3.X

这里以在 Windows 系统中通过 cas-server-webapp-3.4.war 搭建 CAS 服务，并以 MySQL 作为存储用户信息的数据库为例进行说明。

准备 cas-server-webapp-3.4 包

从 http://www.apereo.org 下载 CAS 3.4 的安装包，然后将 cas-server-webapp-3.4.war 解压缩，解压缩的文件夹重命名为 cas，在 cas\WEB-INF\lib 中添加以下 jar 包，用于连接用户账户的数据库：

mysql-connector-java-5.1.6-bin.jar
commons-dbcp-1.4.jar
commons-pool-1.6.jar

此外，还需要下载 cas-server-3.4-release.zip，然后将此 zip 包里 modules 文件夹中的 jar 包都添加到 cas\WEB-INF\lib 文件夹里(除了 cas-server-core-3.4.jar，因为 cas-server-webapp-3.4 里已经包含)。

配置 CAS 连接的数据源

修改 cas\WEB-INF\deployerConfigContext.xml，在其中添加以下配置：

</bean>

注释掉以下这行代码：

在<property name="authenticationHandlers">节点的<list>节点下，添加以下内容：

</bean>

上述代码中粗体字段的含义如下：

password：变量 {password}，应写入实际的账户密码字段
users：变量 {users}，应写入实际的用户应用系统账户在数据库中保存的表名
user：变量 {user}，应写入实际的账户的名称字段

注意：如果您使用的是 cas-server-webapp-3.5.2 版本，还需在 cas\WEB-INF\deployerConfigContext.xml 文件中，找到<bean class="org.jasig.cas.services.RegexRegisteredService">节点，在此节点下增加 allowedAttributes 属性，添加的内容如下：

...

<list>

<value>roletype</value>

</list>

</property>

...

上述代码中粗体字段的含义如下：

roletype：应写入 iServer (或 iPortal、iEdge) 的 shiro.ini 文件（位于【SuperMap 产品目录】\webapps\iServer (或 iPortal、iEdge) \WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段
guid：变量 {guid}，应写入 iServer (或 iPortal、iEdge) 的 shiro.ini 文件（位于【SuperMap 产品目录】\webapps\iServer (或 iPortal、iEdge) \WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段

配置 CAS 登录后返回的属性信息

修改 cas\WEB-INF\deployerConfigContext.xml，注释掉以下几行代码：

<!-- <bean id="attributeRepository" class="org.jasig.services.persondir.support.StubPersonAttributeDao">

<map>

</map>

</property>

</bean> -->

添加以下配置：

<constructor-arg index="0" ref="dataSource"/>

<constructor-arg index="1" value="select * from users where {0}"/>

<map>

</map>

</property>

<map>

<!—配置返回的字段信息：usertype是账户的类型，id是账户的id，roletype用于iPortal配置，即CAS用户属性字段 -->

</map>

</property>

</bean>

上述代码中粗体字段的含义如下：

users：变量 {users}，应写入实际的用户账号的表名
user：变量 {user}，应写入实际的账户表的名称字段
usertype：变量 {usertype}，应写入实际的账户表里账户类型字段
roletype：变量 {roletype}，应写入 iServer (或 iPortal、iEdge) 的 shiro.ini 文件（位于【SuperMap 产品目录】\webapps\iServer (或 iPortal、iEdge) \WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段

找到 class 为 org.jasig.cas.authentication.AuthenticationManagerImpl 的 bean，找到其<property name="credentialsToPrincipalResolvers">节点的<list>节点，修改<list>节点的

为：

</bean>

返回属性信息还需要修改 CAS 目录下的 WEB-INF\view\jsp\protocol\2.0\casServiceValidationSuccess.jsp 文件，具体方法是在<cas:user>${fn:escapeXml(assertion.chainedAuthentications[fn:length(assertion.chainedAuthentications)-1].principal.id)}</cas:user>后面添加：

<cas:attributes>

<cas:test>test_value</cas:test>

<c:forEach var="auth" items="${assertion.chainedAuthentications}">

<c:forEach var="attr" items="${auth.principal.attributes}">

<cas:${fn:escapeXml(attr.key)}>${fn:escapeXml(attr.value)}</cas:${fn:escapeXml(attr.key)}>

</c:forEach>

</cas:attributes>

允许以 http 的方式登录 CAS Server

修改 cas\WEB-INF\spring-configuration\ticketGrantingTicketCookieGenerator.xml 文件，使得可以使用 http 协议的方式登录 CAS：将 CookieRetrievingCookieGenerator 的 p:cookieSecure 设置为"false"。

以上配置设置完成后，将 CAS 文件夹放置到 tomcat 的 webapps 目录里，启动 tomcat，此时可以访问 http://{casserver}:{port}/cas，用上面配置的 iportalusers 数据库中 users 表的用户账户登录 CAS。

配置 CAS 4.X

这里以在 Windows 系统中通过 cas-server-webapp-4.2.7.war 搭建 CAS 服务，并以 MySQL 作为存储用户信息的数据库为例进行说明。

准备 cas-server-webapp-4.2.7包

官方没有推出 CAS 4.X发行版，您需要从https://mvnrepository.com/artifact/org.jasig.cas/cas-server-webapp下载 CAS 4.2.7 的安装包，然后将 cas-server-webapp-4.2.7.war 解压缩，解压缩的文件夹重命名为 cas，在 cas\WEB-INF\lib 中添加以下 jar包，用于连接用户账户的数据库：

mysql-connector-java-5.1.38.jar
commons-collections4-4.1.jar
cas-server-support-jdbc-4.2.7.jar

注意：mysql-connector-java-5.1.38.jar 适用于 5.X 版本的 MySQL 数据库。如果您使用的是 8.X 版本的 MySQL 数据库，建议您使用对应版本的数据库连接 jar 包，即： mysql-connector-java-8.x.x.jar

此外，由于 CAS4.X 中不包含 saml，需要您自行扩展，将以下 cas-server-support-saml-4.2.7 的 jar包及其依赖添加到 cas\WEB-INF\lib 目录下：

activation-1.1.jar	commons-collections-3.2.1.jar	commons-compiler-2.7.8.jar	commons-lang-2.4.jar	idp-attribute-api-3.1.1.jar	idp-attribute-filter-api-3.1.1.jar	idp-attribute-resolver-api-3.1.1.jar	idp-authn-api-3.1.1.jar	idp-core-3.1.1.jar
idp-profile-api-3.1.1.jar	idp-profile-impl-3.1.1.jar	idp-profile-spring-3.1.1.jar	idp-saml-api-3.1.1.jar	idp-saml-impl-3.1.1.jar	idp-schema-3.1.1.jar	idp-session-api-3.1.1.jar	janino-2.7.8.jar	java-support-7.1.1.jar
javax.json-1.0.4.jar	javax.json-api-1.0.jar	jdom-1.0.jar	jcommander-1.47.jar	jsr305-3.0.0.jar	ldaptive-1.0.6.jar	mail-1.4.7.jar	opensaml-core-3.1.1.jar	opensaml-messaging-api-3.1.1.jar
opensaml-profile-api-3.1.1.jar	opensaml-saml-api-3.1.1.jar	opensaml-saml-impl-3.1.1.jar	opensaml-security-api-3.1.1.jar	opensaml-security-impl-3.1.1.jar	opensaml-soap-api-3.1.1.jar	opensaml-soap-impl-3.1.1.jar	opensaml-storage-api-3.1.1.jar	opensaml-xmlsec-api-3.1.1.jar
opensaml-xmlsec-impl-3.1.1.jar	stax2-api-3.1.4.jar	stax-api-1.0-2.jar	velocity-1.7.jar	woodstox-core-asl-4.4.1.jar	xml-apis-1.4.01.jar	xmlsec-2.0.3.jar	httpclient-cache-4.3.6.jar

配置 CAS 连接的数据源和返回的属性信息

修改 cas\WEB-INF\deployerConfigContext.xml 文件，注释掉以下几行代码：

添加以下配置：

</bean>

<!-- MD5加密

<constructor-arg value="MD5"/>

</bean>

-->

<bean id="dataSource"

class="com.mchange.v2.c3p0.ComboPooledDataSource"

p:driverClass="com.mysql.jdbc.Driver"

p:jdbcUrl="jdbc:mysql://127.0.0.1:3306/iportalusers?useUnicode=true&characterEncoding=UTF-8&zeroDateTimeBehavior=convertToNull"

p:user="root"

p:password="supermap"

p:initialPoolSize="6"

p:minPoolSize="6"

p:maxPoolSize="18"

p:maxIdleTimeExcessConnections="120"

p:checkoutTimeout="10000"

p:acquireIncrement="6"

p:acquireRetryAttempts="5"

p:acquireRetryDelay="2000"

p:idleConnectionTestPeriod="30"

p:preferredTestQuery="select 1"/>

<bean id="dataSourceAttribute"

class="org.jasig.services.persondir.support.jdbc.SingleRowJdbcPersonAttributeDao">

<constructor-arg index="0" ref="dataSource" />

<constructor-arg index="1" value="select * from users where {0}" />

<map>

</map>

</property>

<map>

</map>

</property>

</bean>

users：变量 {users}，应写入实际的用户应用系统账户在数据库中保存的表名
user：变量 {user}，应写入实际的账户的名称字段

usertype：变量 {usertype}，应写入实际的账户表里账户类型字段
roletype：变量 {roletype}，应写入 iServer (或 iPortal、iEdge) 的 shiro.ini 文件（位于【SuperMap 产品目录】\webapps\iServer (或 iPortal、iEdge) \WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段

允许以 http 的方式登录 CAS Server

cas4.2.7 默认以 https 登录方式，需要修改修改 cas\WEB-INF\cas.properties 文件，允许以 http 登录方式，找到如下属性并更改：

tgc.secure=false

warn.cookie.secure=false

此外，还需在cas.properties文件中添加以下配置：

cas.jdbc.authn.query.sql=select password from users where user=?

上述代码中粗体字段的含义如下：

users：变量 {users}，应写入实际的用户账号的表名
user：变量 {user}，应写入实际的账户表的名称字段
password：变量 {password}，应写入实际的账户表的密码字段

关闭CAS自带的用户名和密码，找到如下属性并更改：

#accept.authn.users=casuser::Mellon

增加允许登录的服务

（1）在 cas/WEB-INF/classes/services 路径下，修改 HTTPSandIMAPS-10000001.json 文件，将：

"serviceId" : "^(https|imaps)://.*",

修改为：

"serviceId" : "^(https|imaps|http)://.*",

并在参数 "attributeReleasePolicy" 中，增加一行代码（粗体部分）：

"attributeReleasePolicy" : {

"@class" : "org.jasig.cas.services.ReturnAllowedAttributeReleasePolicy",

"allowedAttributes" : [ "java.util.ArrayList", [ "roletype"] ],

"principalAttributesRepository" : {

"@class" : "org.jasig.cas.authentication.principal.DefaultPrincipalAttributesRepository"

"authorizedToReleaseCredentialPassword" : false,

"authorizedToReleaseProxyGrantingTicket" : false

roletype：变量 {roletype}，应写入 iServer (或 iPortal、iEdge) 的 shiro.ini 文件（位于【SuperMap 产品目录】\webapps\iServer (或 iPortal、iEdge) \WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段

（2）去掉 CAS 登录页面显示的 https 方式登录字样，在 WEB-INF/view/jsp/default/ui 路径下的 casLoginView.jsp 文件中，找到如下代码并删除：

<c:if test="${not pageContext.request.secure}">

</div>

</c:if>

以上配置设置完成后，将 CAS 文件夹放置到 tomcat 的 webapps 目录里，启动 tomcat，此时可以访问 http://{casserver}:{port}/cas，例如：http://127.0.0.1:8080/cas，使用您之前配置的 iportalusers 数据库中 users 表的用户账户即可登录 CAS。

配置 CAS 5.X

iServer/iPortal/iEdge 从 9D 版本开始支持 CAS 5.x 单点登录，但由于 CAS 5.x 相较于 CAS 3.x 有较大的差异，部署方式也不同，且没有官方推出的 5.x 发行版，所以用户需要手动构建 war 包。CAS 的服务端搭建常用的方式有两种：

基于源码构建
使用 WAR Overlay 安装

官方推荐使用第二种，配置管理方便，后续升级也容易，因此此处也以 Windows 系统为例介绍使用 WAR Overlay 搭建服务的具体步骤。

下载 CAS Overlay

由于 CAS 5.X 无发行版本，因此需要使用 Git 下载 CAS Overlay，在切换到下载目录后，输入以下 git 命令进行下载：

git clone -b 5.3 https://github.com/apereo/cas-overlay-template.git

下载完成后，目录下新增了一个名为 cas-overlay-template 的文件夹。

数据库配置

在数据库中创建数据库、表和帐号数据，用于 CAS 进行对 iServer/iPortal/iEdge 账号信息的管理。此处以 MySQL 数据库为例：

CREATE DATABASE `localmysql`;

DROP TABLE IF EXISTS `app_user`;

CREATE TABLE `app_user` (

`id` INT(11) NOT NULL AUTO_INCREMENT,

`username` VARCHAR(45) DEFAULT NULL,

`password` VARCHAR(45) DEFAULT NULL,

`role` VARCHAR(45) DEFAULT NULL,

PRIMARY KEY (`id`)

);

INSERT INTO `app_user` VALUES (1,'cas','1234567','admin');

增加依赖

为实现 iServer (或 iPortal、iEdge) 单点登录的对接，需找到 cas-overlay-template 目录下的 pom.xml 文件，增加依赖。

添加数据库的 JDBC 插件，在 pom.xml 增加如下依赖：

<groupId>org.apereo.cas</groupId>

<artifactId>cas-server-support-jdbc</artifactId>