技术分享 CAS单点登录 服务端配置 查看内容

cas 入门之四:认证管理器

老高 | 发布于 2017-05-05 12:16| 浏览()| 评论() | 收藏() | 打印

摘要: ​之前我分析过cas的spring配置文件,其中有一个spring文件名为deployerConfigContext.xml,在这里面我们可以找到类似如下的spring bean配置

之前我分析过cas的spring配置文件,其中有一个spring文件名为deployerConfigContext.xml,在这里面我们可以找到类似如下的spring bean配置(我去掉了相关的注释说明):

<bean id="authenticationManager" class="org.jasig.cas.authentication.AuthenticationManagerImpl">
	<property name="credentialsToPrincipalResolvers">
		<list>
			<bean class="org.jasig.cas.authentication.principal.UsernamePasswordCredentialsToPrincipalResolver" >
				<property name="attributeRepository" ref="attributeRepository" />
			</bean>
			<bean class="org.jasig.cas.authentication.principal.HttpBasedServiceCredentialsToPrincipalResolver" />
		</list>
	</property>
	<property name="authenticationHandlers">
		<list>
			<bean class="org.jasig.cas.authentication.handler.support.HttpBasedServiceCredentialsAuthenticationHandler"
			p:httpClient-ref="httpClient"  p:requireSecure="false"/>
			<bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />
		</list>
	</property>
</bean>

这个bean,就是cas的核心类,认证管理器。在cas中定义了两个术语credentials,即需认证用户信息载体,例如在web应用中,用户通过前台界面输入用户名,密码,然后经cas 认证成功(或失败)。这个credentials它的其中一个实现类(org.jasig.cas.authentication.principal.UsernamePasswordCredentials)

就代表了持有前台输入的用户名及密码类;另一个术语是Principal,它是cas认证之后返回的信息载体,默认只返回用户名。从上面的配置我们看到这个bean有两个属性:

authenticationHandlers从字面意思可知是认证处理器,即cas如何对于用户信息进行认证,即到哪去认证;credentialsToPrincipalResolvers对于认证之后的用户信息转换为principal的转换解析器。这两个属性都是list即可以配置多个。在cas的认证过程中逐个执行authenticationHandlers中配置的认证管理,直到有一个成功为止;然后再执行credentialsToPrincipalResolvers过程,直到有一个成功为止。这是cas认证管理器的默认配置.我们从上面的分析会发现,默认配置在进行认证及转换解析是低效的,原因是它要执行两次for循环(当然这个低效也是相对的),那么是否可以提高相应的效率呢?答案是肯定的。

cas的认证管理器有三个实现类:

org.jasig.cas.authentication.AuthenticationManagerImpl;
org.jasig.cas.authentication.DirectMappingAuthenticationManagerImpl;
org.jasig.cas.authentication.LinkedAuthenticationHandlerAndCredentialsToPrincipalResolverAuthenticationManager

第一个就是默认配置。认证管理器的第二及第三类实现,就来解决这件事情。

我们先来说说LinkedAuthenticationHandlerAndCredentialsToPrincipalResolverAuthenticationManager这个类。DirectMappingAuthenticationManagerImpl这个不太好说。

LinkedAuthenticationHandlerAndCredentialsToPrincipalResolverAuthenticationManager从类名我们可以猜出它是将认证处理器与转换解析器进行对应。实质上它就是作这件事情的,即

将一个authenticationHander指定一个credentialToprincipalResolver.它的一般配置与如下类似:

<bean id="authenticationManager"
class="org.jasig.cas.authentication.LinkedAuthenticationHandlerAndCredentialsToPrincipalResolverAuthenticationManager">
	<constructor-arg name="linkedHandlers" ref="authenticationHandlersAndPrincipalResolversMap" />
</bean>

<util:map id="authenticationHandlersAndPrincipalResolversMap">
	<entry key-ref="httpBasedAuthenticationHandler">
		<bean class="org.jasig.cas.authentication.principal.HttpBasedServiceCredentialsToPrincipalResolver" />
	</entry>
	
	<entry key-ref="ldapBindAuthenticationHandler">
		<bean class="org.jasig.cas.authentication.principal.UsernamePasswordCredentialsToPrincipalResolver">
			<property name="attributeRepository" ref="attributeRepository" />
		</bean>
	</entry>
	
	<entry key-ref="ldapFastBindAuthenticationHandler">
		<bean class="org.jasig.cas.authentication.principal.UsernamePasswordCredentialsToPrincipalResolver">
			<property name="attributeRepository" ref="attributeRepository" />
		</bean>
	</entry>
</util:map>

下面我们来说说

org.jasig.cas.authentication.DirectMappingAuthenticationManagerImpl,它不像上面那个类名那么明显就能猜出它的作用。它有一个 

private Map<Class< ? extends Credentials>, DirectAuthenticationHandlerMappingHolder> credentialsMapping属性, 

即对于每一种credentials绑定一个DirectAuthenticationHandlerMappingHolder,而DirectAuthenticationHandlerMappingHolder实质就是持有一个认证处理器与一个pricipal转换解析器,这样就能将credentials,认证处理器与转换解析器进行了绑定,它的一般配置类似如下:

<bean id="authenticationManager" class="org.jasig.cas.authentication.DirectMappingAuthenticationManagerImpl">
<property name="credentialsMapping">
	<map>
		<entry key="org.jasig.cas.authentication.principal.UsernamePasswordCredentials">
		<bean class="org.jasig.cas.authentication.DirectMappingAuthenticationManagerImpl.DirectAuthenticationHandlerMappingHolder"
			p:authenticationHandler-ref="ldapHandler"
			p:credentialsToPrincipalResolver-ref="ldapResolver" />
		</entry>
		<entry key="org.jasig.cas.adaptors.x509.authentication.principal.X509CertificateCredentials">
		<bean class="org.jasig.cas.authentication.DirectMappingAuthenticationManagerImpl.DirectAuthenticationHandlerMappingHolder"
			p:authenticationHandler-ref="certHandler"
			p:credentialsToPrincipalResolver-ref="certResolver" />
		</entry>
	</map>
</property>
</bean>

对于普通的不追求性能的系统来说,cas的默认认证管理器配置是最合适不过了,它非常的灵活,易于扩展,只需要追加认证管理器与principal转换解析器就可以了,而无需关心其他。而在我们追求性能,而且需要对于某一种credentials进行多次认证处理(例如对于用户名密码组合从多个数据源进行验证),我们可以应用LinkedAuthenticationHandlerAndCredentialsToPrincipalResolverAuthenticationManager认证管理器;而对于不同credentials进行认证处理,我们可以应用DirectMappingAuthenticationManagerImpl认证管理器。这三个认证管理器各有利弊,我们根据不同情况可以灵活应用。

发表评论(对文章涉及的知识点还有疑问,可以在这里留言,老高看到后会及时回复的。)

表情
返回顶部