基於CAS 實現與容器（Tomcat 或者 JBoss）的SSO

[b]需求描述1[/b]：大家知道J2EE應用程式都可以用型別以下形式進行保護：

   <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
        <form-login-page>/login.jsp</form-login-page>
        <form-error-page>/failure.jsp</form-error-page>
        </form-login-config>
        <realm-name>Security Realm</realm-name>
    </login-config>
    <security-constraint> 
       <display-name>Tomcat security constraint</display-name> 
       <web-resource-collection> 
            <web-resource-name>Protected Resources</web-resource-name> 
            <url-pattern>/security/*</url-pattern> 
      </web-resource-collection> 

      <auth-constraint> 
         <role-name>manager</role-name> 
      </auth-constraint> 
    </security-constraint> 
    <security-role>
        <role-name>manager</role-name>
    </security-role>

而使用CAS實現SSO之後，我們又不想容器保護去掉，該怎麼辦才能真正把這個CAS驗證過的使用者和角色傳給Tomcat容器，而不至於重新登入，或者出現403錯誤呢?
[b]需求描述2[/b]: 在有EJB資源的時候，我們通常都會用JAAS來實現保護EJB資源，以限制EJB資源的訪問。在呼叫EJB的時候，需要輸入使用者名稱和密碼並且此使用者具有相應的角色才能呼叫EJB。而在實現SSO之後，如果真正實現與EJB容器進行SSO呢？

[b]
下面基於Tomcat容器實現需求1.[/b]
1. Tomcat視窗提供了一個叫Valve的介面，還提供一個基本實現ValveBase，我們解決方案就是基於實現一個自己的Valve, 在Valve裡把經過CAS驗證的使用者傳給Tomcat。以下就是自定義的Valve：

package edu.extcas.valve;

import java.io.*;
import java.security.Principal;
import java.util.ArrayList;
import java.util.List;

import javax.servlet.*;
import javax.servlet.http.*;

import org.apache.catalina.Container;
import org.apache.catalina.connector.Request;
import org.apache.catalina.connector.Response;
import org.apache.catalina.realm.GenericPrincipal;
import org.apache.catalina.valves.ValveBase;

//import com.ttg.customagent.jboss.SimplePrincipal;

public class ExtCASValve extends ValveBase {
	public final static String CAS_FILTER_USER = "edu.yale.its.tp.cas.client.filter.user";

	public void setContainer(Container container) {
		super.setContainer(container);
	}

	public void invoke(Request request, Response response) throws IOException,
			ServletException {
		HttpSession session = ((HttpServletRequest) request).getSession();

		if (session != null) {
			String username = (String) session.getAttribute(CAS_FILTER_USER);
			if (null != username) {
				List roleList = getRolesFromUserStore(username);
				Principal principal = new GenericPrincipal(request.getContext()
						.getRealm(), username, "", roleList);
				request.setUserPrincipal(principal);
			}

			//SecurityAssociation類是在登入EJB的時候使用的。
			//SecurityAssociation.setPrincipal(new SimplePrincipal(username.trim()));
			//SecurityAssociation.setCredential("password".trim().toCharArray());

			getNext().invoke(request, response);
			return;
		} else {
			getNext().invoke(request, response);
			return;
		}
	}

  //此方法是為在使用者儲存裡取到相應的角色。自已根據實際情況實現
	private List getRolesFromUserStore(String username) {
		List roleList = new ArrayList();
		roleList.add("admin");
		roleList.add("manager");
		return roleList;
	}

}

2. 實現好自己的Valve，在server.xml裡配置一下。然後就可以測試了。


[b]下面講實現需求2實現的思路:[/b]
1. 如果是EJB容器是JBoss，而Web容器是Tomcat， 也可以在Valve裡用SecurityAssociation類（或者其他的方法）把CAS驗證過的使用者傳到EJB容器裡。這裡同時需要傳遞密碼。
2. 要實現一個LoginModule, 類似以下程式碼：

package edu.extcas.loginmodule;

import java.io.IOException;
import java.util.ArrayList;
import java.util.HashSet;
import java.util.List;
import java.util.Map;
import java.util.Set;
import java.security.Principal;
import java.security.cert.X509Certificate;
import javax.security.auth.Subject;
import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.NameCallback;
import javax.security.auth.callback.PasswordCallback;
import javax.security.auth.callback.UnsupportedCallbackException;
import javax.security.auth.login.LoginException;
import javax.security.auth.spi.LoginModule;
import org.apache.catalina.realm.GenericPrincipal;

public class ExtCasLoginModule  implements LoginModule {

    private CallbackHandler callbackHandler;

    private Principal unauthenticatedIdentity;

    private String userName = null;

    private String password = null;

    protected Subject subject;

    protected boolean loginOk;

    protected Principal identity;

    public void initialize(Subject subject, CallbackHandler callbackHandler,
                    Map sharedState, Map options) {
        this.subject = subject;
        this.callbackHandler = callbackHandler;

        try {
            String name = (String) options.get("unauthenticatedIdentity");
            if (name != null) {
                unauthenticatedIdentity = createIdentity(name, "", null);
            }
        }
        catch (Exception e) {

        } 

    }

    public boolean login() throws LoginException {
		loginOk = false;

		if (userName == null && password == null) {
			identity = unauthenticatedIdentity;
		}
		if ((identity == null) && (password != null)) {
			if ("password".equals(password)) {
				identity = createIdentity(userName, "", null);
				loginOk = true;
				return true;
			}
		}

	}

    public boolean abort() throws LoginException {
        subject.getPrincipals().clear();
        return true;
    }

    public boolean logout() throws LoginException {
        Principal identity = getIdentity();
        Set principals = subject.getPrincipals();
        if (principals.contains(identity) == true)
            principals.remove(identity);
        return true;
    }

    private Principal getIdentity() {
        return identity;
    }

    private Principal createIdentity(String username) throws Exception {
		return new CustomPrincipal(username);
	}    

    public boolean commit() throws LoginException {
        if (loginOk == false)
            return false;
        StringBuffer sb = new StringBuffer();

        List roles = getRolesFromUserStore(userName);

        Set principals = subject.getPrincipals();
        if (!principals.contains(identity))
            principals.add(identity);

        Group jbossroles = new SimpleGroup("Roles");      

        for (Iterator i = roles.iterator(); i.hasNext();) {        	
            String roleStr = (String) i.next();
            jbossroles.addMember(new SimplePrincipal(roleStr));
        }

        principals.add(jbossroles);

        return true;
    }

	private List getRolesFromUserStore(String username) {
		List roleList = new ArrayList();
		roleList.add("admin");
		roleList.add("manager");
		return roleList;
	}    
}

這裡面最重要的就是commit方法了。由於這是個有點麻煩，只是在產品裡的程式碼改了一下。不保證這個LoginModule能執行正確，不過思路和基本方法都是正確的。
3. 然後在JBoss裡的配置使用這個LoginModule， 並且讓它來保護EJB資源。這樣就可以了。至於怎麼設定這個，非常繁瑣，這裡就不講了。

[b]重要注意[/b]：這裡為了演示，把密碼寫作“password”, 在實現應用中，用這麼簡單的密碼不合適，這誰都知道。但是是否使用真正的密碼，也是要考慮的。如果使用真正的密碼，在loginmodule還要驗證一次。如果使用一定邏輯來實現密碼驗證(如使用CAS的Ticket)，同時也支援真正密碼登入，這樣適應性更強，效能也更好。