一张图说明CAS协议原理

1名词解释

Single Sign On,SSO: 单点登录，通过一对ID和密码实现不同系统的无缝登录功能，可以将用户管理中心化，避免每个系统都需要一套单独的账户配置和用户管理实现。目前广泛应用了LDAP和CAS协议。

LightweightDirectory Access Protocol, LDAP: 轻量目录访问协议，一种支持TCP/IP协议的目录结构协议，常用来统一存储和查询企业员工信息、公用证书等信息，可视为一种特殊的数据库。

CAS Server：CASServer 负责完成对用户的认证工作 , 需要独立部署 , CAS Server 会处理用户名 / 密码等凭证(Credentials) 。

CAS Client：负责处理对客户端受保护资源的访问请求，需要对请求方进行身份认证时，重定向到 CAS Server 进行认证。（原则上，客户端应用不再接受任何的用户名密码等Credentials）。

Ticket-grantingticket, TGT：CAS协议中存放用户身份认证凭证的票据，在浏览器和CAS Server间通讯时使用，并且只能基于安全通道传输（https），是CASServer用来明确用户身份的凭证。

Service ticket,ST：CAS协议中服务票据，服务的惟一标识码 , 由CASServer发出（http传送），通过客户端浏览器到达业务服务器端；一个特定的服务只能有一个惟一的ST，并且只能使用一次。

2 详细原理

CAS实现单点登录简单来说可以归纳为一个cookie（TGC），多个session，多次重定向，多个ticket。下面根据CAS官网给出的时序图来说明原理：