Spring Security3源码分析(20)-CAS支持

扫码关注公众号:Java 技术驿站

发送:vip
将链接复制到本浏览器,永久解锁本站全部文章

【公众号:Java 技术驿站】 【加作者微信交流技术,拉技术群】

Spring Security3对CAS的支持主要在这个spring-security-cas-client-3.0.2.RELEASE.jar包中

Spring Security和CAS集成的配置资料很多。这里讲解的比较详细

http://lengyun3566.iteye.com/blog/1358323

配置方面,主要为下面的部分:

Java代码

  1. </security:http>
  2. </security:authentication-manager>
  3. <bean id=“casAuthenticationProvider” class=“org.springframework.security.cas.authentication.CasAuthenticationProvider”>
  4. <bean id=“casAuthEntryPoint” class=“org.springframework.security.cas.web.CasAuthenticationEntryPoint”>
  5. <bean id=“casService” class=“org.springframework.security.cas.ServiceProperties”>
  6. <bean id=“casAuthenticationFilter” class=“org.springframework.security.cas.web.CasAuthenticationFilter”>
  7. <bean id=“casTicketValidator” class=“org.jasig.cas.client.validation.Cas20ServiceTicketValidator”>
  8. <bean id=“authenticationUserDetailsService” class=“org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper”>

这里需要强调一下http标签的entry-point-ref属性,因为之前没有着重的介绍,英文的意思是入口点引用。为什么需要这个入口点呢。这个入口点其实仅仅是被ExceptionTranslationFilter引用的。前面已经介绍过ExceptionTranslationFilter过滤器的作用是异常翻译,在出现认证异常、访问异常时,通过入口点决定redirect、forward的操作。比如现在是form-login的认证方式,如果没有通过UsernamePasswordAuthenticationFilter的认证就直接访问某个被保护的url,那么经过ExceptionTranslationFilter过滤器处理后,先捕获到访问拒绝异常,并把跳转动作交给入口点来处理。form-login的对应入口点类为LoginUrlAuthenticationEntryPoint,这个入口点类的commence方法会redirect或forward到指定的url(form-login标签的login-page属性)

清楚了entry-point-ref属性的意义。那么与CAS集成时,如果访问一个受保护的url,就通过CAS认证对应的入口点org.springframework.security.cas.web.CasAuthenticationEntryPoint类redirect到loginUrl属性所配置的url中,即一般为CAS的认证页面(比如:https://server:8443/cas/login)。

下面为CasAuthenticationEntryPoint类的commence方法。其主要任务就是构造跳转的url,再执行redirect动作。根据上面的配置,实际上跳转的url为:https://server:8443/cas/login?service=http%3A%2F%2Flocalhost%3A8888%2Fdocms%2Fj_spring_cas_security_check

Java代码

  1. public final void commence(final HttpServletRequest servletRequest, final HttpServletResponse response,
  2. final AuthenticationException authenticationException) throws IOException, ServletException {
  3. final String urlEncodedService = createServiceUrl(servletRequest, response);
  4. final String redirectUrl = createRedirectUrl(urlEncodedService);
  5. preCommence(servletRequest, response);
  6. response.sendRedirect(redirectUrl);
  7. }

接下来继续分析custom-filter ref=”casAuthenticationFilter” position=”CAS_FILTER”

这是一个自定义标签,并且在过滤器链中的位置是CAS_FILTER。这个过滤器在何时会起作用呢?带着这个疑问继续阅读源码

CasAuthenticationFilter对应的类路径是

org.springframework.security.cas.web.CasAuthenticationFilter

这个类与UsernamePasswordAuthenticationFilter一样,都继承于AbstractAuthenticationProcessingFilter。实际上所有认证过滤器都继承这个抽象类,其过滤器本身只要实现attemptAuthentication方法即可。

CasAuthenticationFilter的构造方法直接向父类的构造方法传入/j_spring_cas_security_check用于判断当前请求的url是否需要进一步的认证处理

Java代码

  1. public CasAuthenticationFilter() {
  2. super(“/j_spring_cas_security_check”);
  3. }

CasAuthenticationFilter类的attemptAuthentication方法源码如下

Java代码

  1. public Authentication attemptAuthentication(final HttpServletRequest request, final HttpServletResponse response)
  2. throws AuthenticationException {
  3. //设置用户名为有状态标识符
  4. final String username = CAS_STATEFUL_IDENTIFIER;
  5. //获取CAS认证成功后返回的ticket
  6. String password = request.getParameter(this.artifactParameter);
  7. if (password == null) {
  8. password = “”;
  9. }
  10. //构造UsernamePasswordAuthenticationToken对象
  11. final UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);
  12. authRequest.setDetails(authenticationDetailsSource.buildDetails(request));
  13. //由认证管理器完成认证工作
  14. return this.getAuthenticationManager().authenticate(authRequest);
  15. }

在之前的源码分析中,已经详细分析了认证管理器AuthenticationManager认证的整个过程,这里就不再赘述了。

由于AuthenticationManager是依赖于具体的AuthenticationProvider的,所以接下来看

Xml代码

  1. <**security:authentication-manager alias=“authenticationmanager”>**
  2. <**security:authentication-provider ref=“casAuthenticationProvider”/>**
  3. </**security:authentication-manager**>

注意这里的ref属性定义。如果没有使用CAS认证,此处一般定义user-service-ref属性。这两个属性的区别在于

ref:直接将ref依赖的bean注入到AuthenticationProvider的providers集合中

user-service-ref:定义DaoAuthenticationProvider的bean注入到AuthenticationProvider的providers集合中,并且DaoAuthenticationProvider的变量userDetailsService由user-service-ref依赖的bean注入。

由此可见,采用CAS认证时,AuthenticationProvider只有AnonymousAuthenticationProvider和CasAuthenticationProvider

继续分析CasAuthenticationProvider是如何完成认证工作的

Java代码

  1. public Authentication authenticate(Authentication authentication) throws AuthenticationException {
  2. //省略若干判断
  3. CasAuthenticationToken result = null;
  4. //注意这里的无状态条件。主要用于无httpsession的环境中。如soap调用
  5. if (stateless) {
  6. // Try to obtain from cache
  7. //通过缓存来存储认证实体。主要避免每次请求最新ticket的网络开销
  8. result = statelessTicketCache.getByTicketId(authentication.getCredentials().toString());
  9. }
  10. if (result == null) {
  11. result = this.authenticateNow(authentication);
  12. result.setDetails(authentication.getDetails());
  13. }
  14. if (stateless) {
  15. // Add to cache
  16. statelessTicketCache.putTicketInCache(result);
  17. }
  18. return result;
  19. }
  20. //完成认证工作
  21. private CasAuthenticationToken authenticateNow(final Authentication authentication) throws AuthenticationException {
  22. try {
  23. //通过cas client的ticketValidator完成ticket校验,并返回身份断言
  24. final Assertion assertion = this.ticketValidator.validate(authentication.getCredentials().toString(), serviceProperties.getService());
  25. //根据断言信息构造UserDetails
  26. final UserDetails userDetails = loadUserByAssertion(assertion);
  27. //检查账号状态
  28. userDetailsChecker.check(userDetails);
  29. //构造CasAuthenticationToken
  30. return new CasAuthenticationToken(this.key, userDetails, authentication.getCredentials(), userDetails.getAuthorities(), userDetails, assertion);
  31. } catch (final TicketValidationException e) {
  32. throw new BadCredentialsException(e.getMessage(), e);
  33. }
  34. }
  35. //通过注入的authenticationUserDetailsService根据token中的认证主体即用户名获取UserDetails
  36. protected UserDetails loadUserByAssertion(final Assertion assertion) {
  37. final CasAssertionAuthenticationToken token = new CasAssertionAuthenticationToken(assertion, “”);
  38. return this.authenticationUserDetailsService.loadUserDetails(token);
  39. }

需要注意的是为什么要定义authenticationUserDetailsService这个bean。由于CAS需要authentication-manager标签下定义,而不是之前所介绍的
user-service-ref属性,所以这里仅仅定义了一个provider,而没有注入UserDetailsService,所以这里需要单独定义authenticationUserDetailsService这个bean,并注入到CasAuthenticationProvider中。

这里需要对CasAuthenticationToken、CasAssertionAuthenticationToken单独解释一下

CasAuthenticationToken:一个成功通过的CAS认证,与UsernamePasswordAuthenticationToken一样,都是继承于AbstractAuthenticationToken,并且最终会保存到SecurityContext上下文、session中

CasAssertionAuthenticationToken:一个临时的认证对象用于辅助获取UserDetails

配置文件中几个bean定义这里就不一一分析了,都是为了辅助完成CAS认证、跳转的工作。

现在,可以对整个CAS认证的过程总结一下了:

1.客户端发起一个请求,试图访问系统系统中受保护的url

2.各filter链进行拦截并做相应处理,由于没有通过认证,ExceptionTranslationFilter过滤器会捕获到访问拒绝异常,并把该异常交给入口点处理

3.CAS 认证对应的入口点直接跳转到CAS Server端的登录界面,并携带参数service(一般为url:……/j_spring_cas_security_check)

4.CAS Server对登录信息进行处理,如果登录成功,就跳转到应用系统中service指定的url,并携带ticket

5.应用系统中的各filter链再次对该url拦截,此时CasAuthenticationFilter拦截到j_spring_cas_security_check,就会对ticket进行验证,验证成功返回一个身份断言,再通过身份断言从当前应用系统中获取对应的UserDetails、GrantedAuthority。此时,如果步骤1中受保护的url权限列表有一个权限存在于GrantedAuthority列表中,说明有权限访问,直接响应客户端所试图访问的url


来源:http://ddrv.cn

赞(0) 打赏
版权归原创作者所有,任何形式的转载请联系博主:daming_90:Java 技术驿站 » Spring Security3源码分析(20)-CAS支持

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏