pac4j引擎全称为powerful authentication client for java，这是笔者根据其官网介绍推测的全称，不一定正确，姑且这样叫着。

一、缘何遇到该引擎

笔者在集成CAS单点登录服务时使用springboot+shiro搭配shiro-cas库，但是总是遇到非法令牌的问题即invalid_ticket，找了各种解释。

1. CAS服务器令牌失效时间短的问题¹
   笔者更改配置文件，尝试多次，貌似不起作用，官方说的这是默认且唯一的配置；
2. 缺少其它依赖库²
   引入后也不得行；
3. 客户端应用路径问题
   Url缺少“/”

总之成功的都是相似的，不成功的原因千奇百怪。

更要命的是说，该库在退出的时候也有bug，折腾了许久，未果。

就在GitHub上搜springboot shiro cas，就出来了使用pac4j引擎的项目，而且是一个很简单的纯测试项目。项目地址传送门。

下载跑起来测试一下，很舒服，直接成功。

二、引擎能力

先来看一下这个安全引擎能够支持的框架，如下图，几乎包揽市面上的所有的框架，当然Shiro和Spring Security也在其中。在对接的时候引擎抽象了共同点使得工作变得简单。

支持的认证协议有：

OAuth (Facebook, Twitter, Google…) - SAML - CAS - OpenID Connect - HTTP - Google App Engine
LDAP - SQL - JWT - MongoDB - CouchDB - IP address - Kerberos (SPNEGO) - REST API

支持的授权类型有：

Roles/permissions - Anonymous/remember-me/(fully) authenticated - CORS - CSRF - HTTP Security headers

三、引擎特征

1. 简单
2. 高效
3. 强壮

四、十大核心组件

五、项目移植

笔者需要被集成的Web系统是基于Guns后台开发，版本是beetle版本,项目集成CAS基于spring-shiro-cas移植。

5.1 导包

<dependency>
   <groupId>org.apache.shirogroupId>
   <artifactId>shiro-coreartifactId>
   <version>1.4.0version>
   <exclusions>
       <exclusion>
           <artifactId>slf4j-apiartifactId>
           <groupId>org.slf4jgroupId>
       exclusion>
   exclusions>
dependency>
<dependency>
   <groupId>org.apache.shirogroupId>
   <artifactId>shiro-springartifactId>
   <version>1.4.0version>
dependency>
<dependency>
    <groupId>io.bujigroupId>
    <artifactId>buji-pac4jartifactId>
    <version>4.0.0version>
dependency>
<dependency>
    <groupId>org.pac4jgroupId>
    <artifactId>pac4j-casartifactId>
    <version>3.3.0version>
dependency>

5.2 配置

cas:
  client-name: app
  server:
   url: http://127.0.0.1:8080/cas
  project:
   url: http://127.0.0.1:8082/iotProject

5.3 重写认证和授权函数

/**
 * 认证
 *
 * @param authenticationToken
 * @return
 * @throws AuthenticationException
 */
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken)throws AuthenticationException {
    final Pac4jToken pac4jToken = (Pac4jToken) authenticationToken;
    final List<CommonProfile> commonProfileList = pac4jToken.getProfiles();
    final CommonProfile commonProfile = commonProfileList.get(0);
    logger.info("单点登录返回的信息" + commonProfile.toString());
//        final Pac4jPrincipal principal = new Pac4jPrincipal(commonProfileList,getPrincipalNameAttribute());
    UserAuthService shiroFactory = UserAuthServiceServiceImpl.me();

    User user = shiroFactory.user(commonProfile.getId());

    ShiroUser shiroUser = shiroFactory.shiroUser(user);
    final PrincipalCollection principalCollection = new SimplePrincipalCollection(shiroUser, getName());
    return new SimpleAuthenticationInfo(principalCollection,commonProfileList.hashCode());
}
/**
 * 授权/验权（todo 后续有权限在此增加）
 *
 * @param principals
 * @return
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
    UserAuthService shiroFactory = UserAuthServiceServiceImpl.me();

    ShiroUser shiroUser = (ShiroUser) principals.getPrimaryPrincipal();
    List<Long> roleList = shiroUser.getRoleList();
    Set<String> permissionSet = new HashSet<>();
    Set<String> roleNameSet = new HashSet<>();

    for (Long roleId : roleList) {
        List<String> permissions = shiroFactory.findPermissionsByRoleId(roleId);

        if (permissions != null) {
            for (String permission : permissions) {
                if (ToolUtil.isNotEmpty(permission)) {
                    permissionSet.add(permission);
                }
            }
        }
        String roleName = shiroFactory.findRoleNameByRoleId(roleId);
        roleNameSet.add(roleName);
    }

    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.addStringPermissions(permissionSet);
    info.addRoles(roleNameSet);
    return info;
}

5.4 调试

5.4.1 CAS验证原理

该图出自CAS官网，传送门。

5.4.2 单点登录流程分析

1. 在浏览器中输入项目地址，servlet开始处理HTTP请求

2. 过滤器链中的过滤器执行动作逻辑，在ShiroFilterFactoryBean工厂类中定义一个包含4个过滤器的过滤器Map表，分别是3个自定义和一个默认的过滤器UserFilter：

   filterChainDefinitionMap.put("/", "securityFilter");
   filterChainDefinitionMap.put("/callback", "callbackFilter");
   filterChainDefinitionMap.put("/logout", "logoutFilter");
   filterChainDefinitionMap.put("/**","user");
   

3. 在securityFilter中，此时还没有任何用户的信息，仅仅是将访问的服务网站重定向到CAS服务器登陆地址，http://127.0.0.1:8080/cas/login?service=http%3A%2F%2F127.0.0.1%3A8082%2FiotProject%2Fcallback%3Fclient_name%3Dapp

4. 在登陆网页上填写用户名和密码信息后，继续执行过滤器callbackFilter，该过滤器的功能是利用CasAuthenticator验证ticket获取到中央认证服务器上用户的身份信息，接着BaseClient创建用户信息UserProfile，并将用户信息保存到Session中完成信息的共享，在保存的函数中完成用户主体身份login的流程，完成后重定向到受保护的网站即我们的服务网站

5. 请求再次进到过滤器链中，因为服务地址对应的后台访问接口为“/”，对应着主页，先来看一下该函数：

/**
 * 跳转到主页
 */
@RequestMapping(value = "/", method = RequestMethod.GET)
public String index(Model model, HttpServletRequest request, HttpServletResponse response) {

    //获取当前用户角色列表
    ShiroUser user = ShiroKit.getUserNotNull();
    List<Long> roleList = user.getRoleList();

    if (roleList == null || roleList.size() == 0) {
        ShiroKit.getSubject().logout();
        model.addAttribute("tips", "该用户没有角色，无法登陆");
        return "/login.html";
    }

    List<MenuNode> menus = userService.getUserMenuNodes(roleList);
    model.addAttribute("menus", menus);

    return "/index.html";

}

因此又会进入到securityFilter过滤器中，此时用户已经完成认证，认证成功后直接放行进到后台拦截器中即对应的接口函数中，后续需要用到权限的请求doGetAuthorizationInfo（）函数即可，至此完成单点登录功能。

5.5 完成

1. Cas校验INVALID_TICKET-not recognized ↩︎

2. 单点登录出现“票根‘ST-xxxxxx-cas’不符合目标服务”的错误的解决办法 ↩︎