CAS单点登录协议解析与实战指南

1. CAS 核心概念解析

CAS（Central Authentication Service）是一种企业级单点登录协议，最早由耶鲁大学开发。它本质上是一个Web票据系统，通过签发和验证服务票据来实现跨系统的统一认证。想象一下，你手里有一张游乐园通票，进入每个游乐设施时只需出示这张票，而不需要反复买票——CAS就是这张"数字通票"的签发者和管理者。

在企业IT环境中，CAS解决了三个核心痛点：

• 多系统重复登录问题（每次访问新系统都要输密码）
• 密码管理混乱问题（员工需要记住多套凭证）
• 安全审计困难问题（登录行为分散在各个系统）

2. 为什么需要CAS系统

2.1 传统认证的局限性

在没有CAS的情况下，每个系统都维护自己的用户数据库和认证逻辑。这会导致：

• 密码疲劳：用户需要记忆多组凭证，往往采用简单密码或重复密码
• 安全漏洞：每个系统都要处理密码存储、加密等安全问题，薄弱环节多
• 管理成本：员工入职/离职需要在所有系统同步账号状态

2.2 CAS的核心优势

• 一次登录，全网通行：用户只需在CAS门户认证一次，即可访问所有接入系统
• 集中式安全管理：密码策略、多因素认证等安全措施只需在CAS端实施
• 完善的审计追踪：所有登录行为都通过CAS服务器记录，便于追溯
• 标准化协议：支持SAML、OAuth等现代认证协议，方便系统集成

3. CAS完整工作流程详解

3.1 基础认证流程

1. 用户访问业务系统A（Service）
2. 业务系统检测到未登录，重定向到CAS服务器
3. CAS检查是否存在有效全局会话：
   • 如果已登录：直接签发服务票据（ST）
   • 如果未登录：展示登录页面要求认证
4. 用户提交凭证，CAS验证通过后：
   • 创建全局会话（TGT）
   • 生成针对业务系统A的服务票据
   • 重定向回业务系统A并携带ST
5. 业务系统A向CAS验证ST有效性
6. 验证通过后，建立局部会话，允许访问

3.2 票据生命周期管理

• TGT（Ticket Granting Ticket）：存储在用户浏览器的Cookie中，默认有效期8小时
• ST（Service Ticket）：一次性票据，验证后立即失效
• 票据加密：所有票据都采用AES-25