一次说清Cas单点登出那些事

2023-07-31 15:27:55

单点登出：实现无缝登出体验

前言

在现代数字世界中，用户通常拥有多个在线账户，这不可避免地带来了管理不同密码和登录凭据的负担。单点登录 (SSO) 作为一种解决方案应运而生，允许用户使用单一凭据无缝访问多个应用程序。然而，如果缺少对应的单点登出 (SLO) 功能，SSO 的好处就无法完全发挥出来。

什么是单点登出？

单点登出 (SLO) 是单点登录的对应功能，旨在通过一个集中平台（如 Cas Server）的登出，使所有已登录的应用程序（Cas Client）也随之登出。通过触发 Cas Server 的 "/logout" 请求，用户可以从所有已登录的应用程序中退出。

Cas 单点登出实现

Cas 单点登出的实现涉及 Cas Server 和 Cas Client 两个部分。

Cas Server 端

Cas Server 在接收到 "/logout" 请求后，首先销毁当前用户的会话。随后，根据配置，Cas Server 决定是否通知 Cas Client 进行登出。若配置了通知功能，Cas Server 将向已知的 Cas Client 发送 SLO 请求。

SLO 请求包含一个 SAML 注销请求，其中包含了要注销的用户信息。

Cas Client 端

Cas Client 在接收到 SLO 请求后，销毁当前用户的会话，并重定向用户到 Cas Server 的登录页面。重定向 URL 包含 Cas Client 的回调 URL，以便用户在 Cas Server 重新登录后返回到该应用程序。

Cas 单点登出配置

SLO 功能可以通过 Cas Server 和 Cas Client 的配置启用。

Cas Server 端

在 Cas Server 的配置文件中，需要配置以下属性：

cas.logout.singleLogoutCallbacks=true 启用 SLO 功能
cas.logout.singleLogoutFilter.defaultTargetUrl=https://cas.example.com/cas/login 指定 SLO 请求重定向的默认 URL

Cas Client 端

在 Cas Client 的配置文件中，需要配置以下属性：

cas.client.logout.enabled=true 启用 SLO 功能
cas.client.logout.singleLogoutFilter.enabled=true 启用 SLO 过滤器
cas.client.logout.singleLogoutFilter.logoutUrl=https://cas.example.com/cas/logout 指定 SLO 请求的 URL

代码示例：

Cas Server 端（Java）：

@Bean
public SamlSingleLogoutFilter singleLogoutFilter() {
    SamlSingleLogoutFilter filter = new SamlSingleLogoutFilter();
    filter.setLogoutRequestGenerator(logoutRequestGenerator());
    return filter;
}

@Bean
public LogoutRequestGenerator logoutRequestGenerator() {
    return new Saml11LogoutRequestGenerator();
}

Cas Client 端（Java）：

@Bean
public SingleLogoutFilter singleLogoutFilter() {
    SingleLogoutFilter filter = new SingleLogoutFilter();
    filter.setCasServerUrlPrefix(casServerUrlPrefix);
    return filter;
}

常见问题解答

SLO 请求失败怎么办？
- 检查 Cas Server 和 Cas Client 配置是否正确
- 确保 Cas Server 和 Cas Client 之间的网络连接畅通
- 检查 Cas Server 和 Cas Client 是否发生故障
用户在登出后仍然能够访问受保护的资源怎么办？
- 检查 Cas Server 和 Cas Client 配置是否正确
- 检查 Cas Server 和 Cas Client 是否发生故障
- 检查用户浏览器是否缓存了登录信息
如何防止用户在未经授权的情况下访问受保护的资源？
- 使用强密码
- 定期更改密码
- 不要在公共计算机上登录
- 不要在浏览器中保存登录信息
- 使用双因素身份验证