统一身份认证平台集成接口文档.doc

《统一身份认证平台集成接口文档.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、.三峡大学统一身份认证平台接口文档范文..目录1.统一身份认证简介31.1背景知识31.1.1什么是单点登录（SingleSignOn）：31.1.2中心认证服务的设计愿景：31.2CAS的实现4系统中的用到的凭证（ticket）：52.JAVA语言62.1CAS简单登陆的实现62.2CAS登出123.PHP语言133.1CAS单点登录测试环境搭建步骤133.1.1获取必要的驱动程序：133.1.2搭建php运行环境133.1.3配置PHPcas客户端测试程序133.2PHP-CAS客户端143.2.1cas-cli

2、ent的初始化143.2.2设置不是SSL的CAS认证163.2.3进行CAS认证173.2.4登出204.ASP.NET语言224.1搭建ASP.NET环境224.2CAS简单登陆实现224.3CAS登出实现235.ASP语言245.1CAS简单登录实现245.2CAS登出实现256.附录266.1附录1266.2附录2286.3附录3306.4附录4316.5附录532范文..1.统一身份认证简介1.1背景知识1.1.1什么是单点登录（SingleSignOn）：所谓单点登录是指基于用户/会话认证的一个过程，用户

3、只需一次性提供凭证（仅一次登录），就可以访问多个应用。目前单点登录主要基于Web的多种应用程序，即通过浏览器实现对多个B/S架构应用的统一账户认证。1.1.2中心认证服务的设计愿景：简单的说，中心认证服务（CentralAuthenticationService缩写：CAS）的目的就是使分布在一个企业部各个不同异构系统的认证工作集中在一起，通过一个公用的认证系统统一管理和验证用户的身份，一般我们称之为统一身份认证平台。在CAS上认证的用户将获得CAS颁发的一个证书，使用这个证书，用户可以在承认CAS证书的各个系统上自

4、由穿梭访问，不需要再次的登录认证。打个比方：对于加入欧盟的国家而言，在他们国家中的公民可以凭借着自己的，在整个欧洲旅行，不用签证。对于学校部系统而言，CAS就好比这个颁发欧盟认证的系统，其它系统都是加入欧盟的国家，它们要共同遵守和承认CAS的认证规则。因此CAS的设计愿望就是：Ø实现一个易用的、能跨不同Web应用的单点登录认证中心；Ø实现统一的用户身份和密钥管理，减少多套密码系统造成的管理成本和安全漏洞；Ø降低认证模块在IT系统设计中的耦合度，提供更好的SOA设计和更弹性的安全策略。范文..1.1CAS的实现从结构上

5、看，CAS包含两个部分：CASServer和CASClient。CASServer需要独立部署，主要负责对用户的认证工作；CASClient负责处理对客户端受保护资源的访问请求，需要登录时，重定向到CASServer。图1是CAS最基本的协议过程：CASClient与受保护的客户端应用部署在一起，以Filter方式保护受保护的资源。对于访问受保护资源的每个Web请求，CASClient会分析该请求的Http请求中是否包含ServiceTicket，如果没有，则说明当前用户尚未登录，于是将请求重定向到指定好的CASSe

6、rver登录地址，并传递Service（也就是要访问的目的资源地址），以便登录成功过后转回该地址。用户在第3步中输入认证信息，如果登录成功，CASServer随机产生一个相当长度、唯一、不可伪造的ServiceTicket，并缓存以待将来验证，之后系统自动重定向到Service所在地址，并为客户端浏览器设置一个TicketGrantedCookie（TGC），CASClient在拿到Service和新产生的Ticket过后，在第5，6步中与CASServer进行身份合适，以确保ServiceTicket的合法性。在该

7、协议中，所有与CAS的交互均采用SSL协议，确保，ST和TGC的安全性。协议工作过程中会有2次重定向的过程，但是CASClient与CASServer之间进行Ticket验证的过程对于用户是透明的。另外，CAS协议中还提供了Proxy范文..（代理）模式，以适应更加高级、复杂的应用场景，具体介绍可以参考CAS官方上的相关文档。系统中的用到的凭证（ticket）：Ticket-grantingcookie(TGC)凭证存放cookie它是存放用户身份认证凭证的cookie，在浏览器和CAS间通讯时使用，并且只能基于安全

8、通道HTTPS。它是CAS用来明确用户身份的凭证，是实现web系统SSO的可选方案之一。Serviceticket(ST)服务许可证Serviceticket凭证由CAS服务器发出，通过客户端浏览器，到达业务服务器（通过URL重定向和ticket参数来实现）。每个ST只能使用一次，针对特定的服务生成唯一识别码。Proxy-grantingtic