、在谈项目实践之前，先说两个概念：

（1）ruoyi-vue:采用前后端分离的单体web框架，参见介绍 | RuoYi，使用MIT开源协议，对商业使用友好。

（2）CAS：英文为Central Authentication Service，即中央认证服务，为耶鲁大学发起的一个开源项目，是实现sso单点登录的框架。官网地址：https://www.apereo.org/projects/cas。关于spring secuity集成cas可参考：https://docs.spring.io/spring-security/site/docs/5.4.1/reference/html5/#servlet-cas。

CAS官方架构：https://apereo.github.io/cas/development/planning/Architecture.html。

CAS执行逻辑：CAS分CAS Server和CAS Client。其中CAS Server用于分发和验证tickets，CAS Client从CAS Server检索授权用户的身份。

时序图参见：https://apereo.github.io/cas/development/protocol/CAS-Protocol.html。

（1）访问服务： SSO 客户端发送请求访问应用系统。

（2）定向认证： SSO 客户端重定向请求到 CAS服务器。

（3）用户认证：用户身份认证。

（4）发放票据： 成功登录后，CAS服务器向用户发放TGT（ticket-granting ticket）全局票据，创建SSO会话。Server端是TGT，Client端是TGC(Ticket Granted Cookie)，类似于session和cookie。同时TGT签发一个ST返回给浏览器（如不同应用请求，发现TGC对应了一个TGT，同样会签发ST）。

（5）验证票据： CAS服务器验证票据 Service Ticket （ST）的合法性，验证通过后，允许客户端访问服务。ST作为Url中的get参数传递。

（6）传输用户信息：CAS服务器验证票据通过后，传输用户认证结果信息给客户端。

二、回到正题，如何在ruoyi-vue（3.8.1）项目中集成CAS呢。由于ruoyi-vue基于spring seruity。需集成spring-security-cas依赖。另外认证要增加和CAS服务端的集成。

本文参考：RuoYi-Vue前后端分离版集成cas_GGX-520的博客-CSDN博客_ruoyi分离版cas

后端集成：

1、common模块添加对CAS的支持。

<!-- 添加spring security cas支持 -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-cas</artifactId>
</dependency>

2、配置文件修改

#CAS
cas:
  server:
    host:
      #CAS服务地址
      url: http://localhost:8888/cas
      #CAS服务登录地址
      login_url: ${cas.server.host.url}/login
      #CAS服务登出地址
      logout_url: ${cas.server.host.url}/logout?service=${app.server.host.url}
# 应用访问地址
app:
  #开启cas
  casEnable: true
  server:
    host:
      url: http://localhost:${server.port}
  #应用登录地址
  login_url: /
  #应用登出地址
  logout_url: /logout
  #前端登录地址
  web_url: http://localhost/

3、修改LoginUser.java

由于CAS认证需要authorities属性，在common模块中直接new HashSet():

@Override
public Collection<? extends GrantedAuthority> getAuthorities()
{
    return new HashSet();
}

4、在common模块中修改Constants.java

/**
 * CAS登录成功后的后台标识
 */
public static final String CAS_TOKEN = "cas_token";

/**
 * CAS登录成功后的前台Cookie的Key
 */
public static final String WEB_TOKEN_KEY = "Admin-Token";

5、在framework模块config.properties下新增CasProperties.java

6、在framework模块web.service下新增CasUserDetailsService.java

7、在framework模块security.handle下添加CasAuthenticationSuccessHandler.java

8、在framework模块config.SecurityConfig下修改SecurityConfig。（setCasServerUrlPrefix 从cas-client 3.6.0已移除）

前端集成：

1、修改settings.js

2、修改permission.js，判断没有token时访问cas登录页面

3、修改request.js、Navbar.vue，登出后不做响应

4、修改user.js，登出后跳转到cas登出页面

另外CAS Server需另外搭建。地址为：https://github.com/apereo/cas/releases/

点登录 (SingleSign-On，SSO) ，是一种帮助用户快捷访问网络中多个站点的安全通信技术。单点登录系统基于一种安全的通信协议，该协议通过多个系统之间的用户身份信息的交换来实现单点登录。使用单点登录系统时，用户只需要登录一次，就可以访问多个系统，不需要记忆多个口令密码。

云程平台支持CAS、OAuth2、JWT三种主流的单点登录技术，客户可根据需求选择对应技术方案。

一、CAS总体架构介绍

CAS（Central Authentication Service）是 Yale大学发起的一个企业级的、开源的项目，旨在为 Web 应用系统提供一种可靠的单点登录解决方法。CAS的目标是允许用户访问多个应用程序只提供一次用户凭据（如用户名和密码）。

CAS 体系包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对用户的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登录时，重定向到 CAS Server。

CAS 具有以下特点：

• 一个开放的，文档齐全的协议。
• 开源的JAVA服务器组件。
• CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用)，包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。
• 文档社区化和实现的支持。
• 具有广泛的客户群的支持。

CAS官方文档：https://apereo.github.io/cas/5.3.x/index.html#

二、CAS单点原理和集成流程

在 CAS 的整个登录过程中，有三个重要的概念。

1. TGT：TGT 全称叫做 Ticket Granting Ticket，这个相当于我们平时所见到的 HttpSession 的作用，用户登录成功后，用户的基本信息，如用户名、登录有效期等信息，都将存储在此。
2. TGC：TGC 全称叫做 Ticket Granting Cookie，TGC 以 Cookie 的形式保存在浏览器中，根据 TGC 可以帮助用户找到对应的 TGT，所以这个 TGC 有点类似与会话 ID。
3. ST：ST 全称是 Service Ticket，这是 CAS Sever 通过 TGT 给用户发放的一张票据，用户在访问其他服务时，发现没有 Cookie 或者 ST ，那么就会 302 到 CAS Server 获取 ST，然后会携带着 ST 302 回来，CAS Client 则通过 ST 去 CAS Server 上获取用户的登录状态。

CAS的单点登录SSO流程如下， 应用系统要做单点登录，需要跟CAS服务进行集成，首先要理解CAS集成流程和原理。

1. 用户通过浏览器访问应用1，应用1 发现用户没有登录，于是返回 302，并且携带上一个 service 参数，让用户去 CAS Server 上登录。
2. 浏览器自动重定向到 CAS Server 上，CAS Server 获取用户 Cookie 中携带的 TGC，去校验用户是否已经登录，如果已经登录，则完成身份校验（此时 CAS Server 可以根据用户的 TGC 找到 TGT，进而获取用户的信息）；如果未登录，则重定向到 CAS Server 的登录页面，用户输入用户名/密码，CAS Server 会生成 TGT，并且根据 TGT 签发一个 ST，再将 TGC 放在用户的 Cookie 中，完成身份校验。
3. CAS Server 完成身份校验之后，会将 ST 拼接在 service 中，返回 302，浏览器将首先将 TGC 存在 Cookie 中，然后根据 302 的指示，携带上 ST 重定向到应用1。
4. 应用1 收到浏览器传来的 ST 之后，拿去 CAS Server 上校验，去判断用户的登录状态，如果用户登录合法，CAS Server 就会返回用户信息给 应用1。
5. 浏览器再去访问应用2，应用2 发现用户未登录，重定向到 CAS Server。
6. CAS Server 发现此时用户实际上已经登录了，于是又重定向回应用2，同时携带上 ST。
7. 应用2 拿着 ST 去 CAS Server 上校验，获取用户的登录信息。
8. 在整个登录过程中，浏览器分别和 CAS Server、应用1、应用2 建立了会话，其中，和 CAS Server 建立的会话称之为全局会话，和应用1、应用2 建立的会话称之为局部会话；一旦局部会话成功建立，以后用户再去访问应用1、应用2 就不会经过 CAS Server 了。

三、CAS服务端如何部署

云程平台对CAS 5.3.x版本无缝集成，并对CAS认证校验进行了扩展，项目上请使用平台提供的CAS 5.3.x运行包。运行CAS之前需要在数据库先执行平台的脚本，CAS获取用户信息需访问平台的SYS_USER表。

1 修改数据库连接

打开 cas\WEB-INF\classes\application.properties

修改如下配置：

#数据库配置

spring.datasource.driver-class-name=com.mysql.jdbc.Driver
spring.datasource.url=jdbc:mysql://127.0.0.1:3306/yuncheng2021?characterEncoding=UTF-8&useUnicode=true&useSSL=false&zeroDateTimeBehavior=convertToNull&serverTimezone=Asia/Shanghai
spring.datasource.username=root
spring.datasource.password=root
spring.datasource.type=org.apache.commons.dbcp2.BasicDataSource
spring.jpa.database=mysql
spring.jpa.show-sql=true
spring.jpa.hibernate.ddl-auto=update
spring.jpa.properties.hibernate.dialect=org.hibernate.dialect.MySQL5Dialect

2 启动cas

需要准备tomcat，把cas包放到tomcat/webapps目录下，在tomcat/bin目录下执行startup.bat(windows)或startup.sh(linux)。

启动成功后访问cas地址，界面如下图所示：

四、云程如何对接CAS

平台后端CAS配置

云程平台后端已集成CAS代码，在yml配置文件中配置cas服务地址即可。

application.yml 进行如下配置：

#cas单点登录
cas:
prefixUrl: http://cas.example.org:8443/cas

平台前端CAS配置

修改public/config/bootConfig.js

VUE_APP_SSO设置为true

VUE_APP_CAS_BASE_URL配置单点登录服务地址