4. CAS协议详解

CAS（Central Authentication Service）是耶鲁大学发起并广泛使用的开源单点登录协议，也是目前企业级SSO落地中最成熟的协议之一。本章从架构组件、票据类型、核心流程三个维度深度解析CAS协议，帮助你在工程落地时准确理解其设计原理与边界。

4.1 CAS架构组件

CAS协议采用经典的客户端-服务器架构，由三个核心角色组成：

4.1.1 CAS Server内部组件

CAS Server内部由以下关键模块构成：

• Authentication Handler：认证处理器，支持LDAP、JDBC、OAuth、SAML等多种认证源
• Ticket Registry：票据注册中心，管理TGT、ST、PGT等票据的生命周期
• Service Registry：服务注册中心，维护已注册的CAS Client白名单与策略
• Logout Manager：登出管理器，负责单点登出事件的广播与回调
• Ticket Granting Cookie (TGC) Manager：管理TGC的签发、加密与过期

4.1.2 CAS Client内部组件

CAS Client通常以Filter形式嵌入业务应用，核心组件包括：

• Authentication Filter：拦截所有受保护请求，检查用户是否已认证
• Ticket Validation Filter：接收CAS Server返回的ST，向CAS Server发起验证请求
• Single Sign-Out Filter：监听CAS Server的登出回调，清理本地会话
• HttpServletRequest Wrapper：包装请求对象，提供获取用户身份信息的统一接口

4.2 CAS票据类型

CAS协议定义了三种核心票据类型，每种票据都有明确的用途、生命周期和存储位置：

4.2.1 票据间关系

三种票据之间存在明确的层级关系：

• TGT → ST：用户持有TGT后，可向CAS Server请求任意已注册服务的ST
• TGT → PGT：当CAS Client需要代理访问其他服务时，CAS Server基于TGT签发PGT
• PGT → Proxy ST：持有PGT的代理服务可向CAS Server请求目标服务的代理ST

4.3 CAS协议流程

CAS协议的核心流程包括登录流程、验证流程和登出流程。下面逐一拆解每个流程的详细步骤。

4.3.1 登录流程

用户首次访问受保护应用时的完整登录流程：

1. 用户请求受保护资源：浏览器访问CAS Client保护的URL
2. CAS Client拦截：Authentication Filter检测到用户未认证，重定向至CAS Server的登录URL，并附加service参数（目标服务地址）
3. CAS Server展示登录页：用户输入用户名/密码（或通过其他认证方式）
4. CAS Server认证：Authentication Handler验证凭据，成功后创建TGT，并将TGT ID写入TGC Cookie返回给浏览器
5. 签发ST：CAS Server基于TGT生成ST，将浏览器重定向回CAS Client的service地址，URL中携带ticket=ST
6. CAS Client接收ST：Ticket Validation Filter捕获ST，向CAS Server发起ST验证请求
7. CAS Server验证ST：验证ST有效后，返回用户身份信息（如用户名、属性）给CAS Client
8. CAS Client建立本地会话：创建本地Session，用户可正常访问受保护资源

4.3.2 验证流程

ST验证是CAS协议中安全性的关键环节，CAS Client必须通过后端通道（back-channel）直接与CAS Server通信完成验证，而非依赖前端传递的结果：

// CAS Client验证ST的典型请求
GET /serviceValidate?service=https://app.example.com/portal&ticket=ST-12345-abcdef HTTP/1.1
Host: cas.example.com

// 验证成功响应
<cas:serviceResponse xmlns:cas="http://www.yale.edu/tp/cas">
  <cas:authenticationSuccess>
    <cas:user>zhangsan</cas:user>
    <cas:attributes>
      <cas:email>zhangsan@example.com</cas:email>
      <cas:department>Engineering</cas:department>
    </cas:attributes>
  </cas:authenticationSuccess>
</cas:serviceResponse>

4.3.3 登出流程

CAS的单点登出（Single Log Out, SLO）确保用户在一个应用登出后，所有通过同一CAS Server认证的应用会话都被清除：

1. 用户发起登出：访问CAS Client的登出URL或直接访问CAS Server的/logout端点
2. CAS Server清除TGT：销毁TGT，清除TGC Cookie
3. CAS Server查询已认证服务：从TGT关联的Service Registry中获取所有已访问过的CAS Client列表
4. CAS Server发送登出回调：向每个已注册的CAS Client发送HTTP POST请求，携带登出声明
5. CAS Client处理回调：Single Sign-Out Filter接收请求，销毁对应的本地Session
6. CAS Server返回登出确认页：通知用户已成功登出

4.4 CAS协议关键设计要点