cas单点登录CasServer开启Oauth2.0协议(二十)

学习Cas这么久了,一直在按照CAS自身的协议接入&＃xff0c;Cas的强大在于有官方的插件&＃xff0c;可以支持其他的协议&＃xff0c;当然了,现在流行的Oauth2.0协议肯定是支持了,下面开始集成Oauth。

参考博客

https://apereo.github.io/cas/5.3.x/installation/OAuth-OpenId-Authentication.html
https://apereo.github.io/cas/5.3.x/installation/Configuration-Properties.html#oauth2

集成过程

1.pom添加依赖

org.apereo.cascas-server-support-oauth-webflow${cas.version}


2.application.properties添加以下属性 

cas.authn.oauth.refreshToken.timeToKillInSeconds&＃61;2592000
cas.authn.oauth.code.timeToKillInSeconds&＃61;30
cas.authn.oauth.code.numberOfUses&＃61;1
cas.authn.oauth.accessToken.releaseProtocolAttributes&＃61;true
cas.authn.oauth.accessToken.timeToKillInSeconds&＃61;7200
cas.authn.oauth.accessToken.maxTimeToLiveInSeconds&＃61;28800
cas.authn.oauth.grants.resourceOwner.requireServiceHeader&＃61;true
cas.authn.oauth.userProfileViewType&＃61;NESTED

3.增加接入servcie的注册文件&＃xff1a;OAUTH-1002. json&＃xff0c;内容如下: 

{"&＃64;class" : "org.apereo.cas.support.oauth.services.OAuthRegisteredService","clientId": "20180901","clientSecret": "123456","serviceId" : "^(https|http|imaps)://.*","name" : "OAuthService","id" : 1002
}

端点介绍

启用OAuth支持后&＃xff0c;将提供以下端点&＃xff1a;

/oauth2.0/authorize方法介绍

response_type参数有两种&＃xff1a;一种是code&＃xff0c;另一种是token
code模式&＃xff1a;response_type&＃61;code也就是授权码模式。返回authCode。
token模式&＃xff1a;另一种是 是获取token,该token类似于accessToken,可以根据这个token获取用户信息。H5页面或者app等应用可以使用token模式。

/oauth2.0/accessToken方法介绍

grant_type参数有以下几种类型&＃xff1a;
authorization_code&＃xff1a;
grant_type&＃61;authorization_code使用最多的一种,根据code 获取accessToken。常用于第三方登录,用户输入账号密码,同意并授权,第三方不知道用户的账号和密码,获取code之后,再根据code获取accessToken&＃xff0c;使用accessToken获取用户同意获取的信息。
password&＃xff1a;
grant_type&＃61;password 允许Oauth客户端直接发送用户的账号和密码到Oauth服务端,常用于web服务,和受信任的客户端(一般是内部服务)。
client_credentials&＃xff1a;
grant_type&＃61;client_credentials采用Client Credentials方式&＃xff0c;即应用公钥、密钥方式获取Access Token&＃xff0c;适用于任何类型应用&＃xff0c;但通过它所获取的Access Token只能用于访问与用户无关的Open API&＃xff0c;并且需要开发者提前向开放平台申请&＃xff0c;成功对接后方能使用。认证服务器不提供像用户数据这样的重要资源&＃xff0c;仅仅是有限的只读资源或者一些开放的 API。比如获取App首页最新闻列表,由于这个数据与用户无关&＃xff0c;所以不涉及用户登录与授权,但又不想任何人都可以调用这个WebAPI&＃xff0c;这样场景就适用。
refresh_token&＃xff1a;
grant_type&＃61;refresh_token 上一次的令牌过期时,根据上一次请求返回的refresh_token来刷新accessToken.
该怎么选择类型呢&＃xff1f;参考文档https://alexbilbie.com/guide-to-oauth-2-grants/

测试

1.首先Oauth客户端使用Get请求访问以下地址,获取AuthCode
https://server.cas.com:8443/cas/oauth2.0/authorize?response_type&＃61;code&client_id&＃61;20180901&redirect_uri&＃61;http://www.baidu.com
参数说明&＃xff1a;
response_type&＃61;code&＃xff0c;授权码模式
client_id&＃61;20180901&＃xff0c;这个参数的值是servcie注册的定义的&＃xff0c;每个接入系统都分配一个值。
redirect_uri&＃61;http://www.baidu.com&＃xff1a;这个是认证通过后跳转的地址。认证成功之后会跳转到百度,并且连接后面会带着code参数。

2.根据authCode获取accessToken
https://server.cas.com:8443/cas/oauth2.0/accessToken?grant_type&＃61;authorization_code&client_id&＃61;20180901&client_secret&＃61;123456&code&＃61;OC-4-RKvMl2XJCtZ0xAYBiOOiSvwIukZyHmlR&redirect_uri&＃61;http://www.baidu.com

3.根据accessToken获取用户信息
https://server.cas.com:8443/cas/oauth2.0/profile?access_token&＃61;AT-1-GCE68lY8e2bDjyPAlcXu4FKggRa-3RrX
默认只返回了用户名,想要更多返回参数,参考上篇博客。

上面只是进行code授权码的演示,其他模式请自行测试,测试中出现了不少问题&＃xff0c;如下&＃xff1a;

1.访问服务的时候,自动跳转到https://cas.example.org:8443服务器

解决方案&＃xff1a;在application.properties中添加如下配置&＃xff1a;

#需要配置 server name的信息&＃xff0c;不然就会跑到 https://cas.example.org:8443
cas.server.name&＃61;https://server.cas.com:${server.port}/cas
cas.server.prefix&＃61;${cas.server.name}

2.出现如下异常的原因有很多,比如client_id不存在,或者 authCode已失效,都会报这个异常

cas使用oauth依赖的包很多,而且想要改成分布式的使用redis来存储code 和accessToken 改起来很麻烦,报错什么的都很烂,最后选择自己写了一个Oauth授权,返回码什么都很清晰,可以跟现在的cas集成,就像之前配置验证码似的写一个Controller对外提供服务,这里就不详细介绍了,具体参考前面的博客,可以自己写Oauth。