企业官网建设流程全解析

Apereo CAS：给 Web 应用装上统一登录的完整指南

【免费下载链接】casApereo CAS - Identity & Single Sign On for all earthlings and beyond.项目地址: https://gitcode.com/gh_mirrors/ca/cas

如果你手下有多个内部系统，不想让用户记 N 套账号，也不想自己从零撸登录、发 Token、管会话，那么 Apereo CAS（一套开源的身份认证与单点登录框架）就是为你准备的：用户在任何一处登录后，其余系统直接放行。

它是什么，能干什么

CAS 是一个跑在你自己服务器上的 Java 认证中心，相当于给所有应用前面加一道"统一的门卫"。用户访问受保护的应用时，会被重定向到 CAS 登录页；验证通过后，CAS 发给应用一张"票证"（Ticket，一张一次性的通行凭证），应用拿票向 CAS 核验后即可放行。此后用户访问其他注册在 CAS 下的应用时，不再重复输密码，直到他主动登出。除了最经典的 CAS 协议，它还内置 SAML2（政企、校园常用）、OpenID Connect、OAuth2（发 JWT 令牌的那套）等主流协议，账号源可以对接 LDAP、RADIUS、数据库或你自己的系统。

什么时候会用到它

当你给公司或学校搭建门户、OA、Wiki 等一系列系统时，最头疼的不是登录本身，而是"用户要记一堆账号"和"每个系统各管各的安全策略"。CAS 把登录收敛到一个地方，密码策略、审计、风控都只在这里做一遍。

当你已有 LDAP 或域账号体系，现在要把移动端 App 或第三方服务接进来时，你需要的不是一个新账号库，而是 OAuth2 / OpenID Connect 这类标准接口——CAS 可以直接扮演这个角色，把现有账号体系以令牌的形式对外提供。

当安全合规要求"关键操作必须二次验证"时，你不需要自己设计 MFA（多因素认证）流程，CAS 内置了动态口令、短信、WebAuthn 等多种验证方式的接入点，勾选启用即可。

它凭什么好用

• 协议覆盖面广，一套服务对接所有客户端：CAS 协议、SAML2、OIDC、OAuth2 都在同一套发行版里，网页应用、政企系统、移动 App 共用同一个认证中心，不用为每类客户端维护一套登录逻辑。
• 高可用是"拼装"出来的：登录状态、票证、认证数据都放在独立的缓存或数据库里，多个 CAS 节点无状态地挂在负载均衡后面就能扩容，官方文档给出了推荐的部署拓扑。

• 模块化，按需取用：仓库里几百个cas-server-support-*目录就是一个个可插拔模块——MFA、票据存储、审计、协议各成独立单元，要什么装什么，不用拖着用不上的依赖。

三步跑起来

1. 把源码克隆下来（想参与开发或看实现时）：git clone https://gitcode.com/gh_mirrors/ca/cas，只想部署的用户可以跳过这步。
2. 拉一个官方 Docker 镜像跑起来，服务会在8080端口监听，具体命令和参数见 Docker 安装文档。
3. 把你的应用注册为 CAS 的"服务"，把应用入口指向 CAS 地址；服务管理和属性发布怎么写，见 官方文档目录 下的 services 相关章节。

接下来去哪玩

• 协议与属性发布配置：Configure-ServiceTicket-JWT.md
• 高可用与集群部署：recommended_ha_architecture.png 对应的部署章节
• 协议实现的源码示例：SAML 支持模块、OIDC 支持模块
• 浏览器自动化测试场景：ci/tests/puppeteer/

先用 Docker 把 CAS 点起来，注册第一个应用，你会发现单点登录比想象中少很多代码。

【免费下载链接】casApereo CAS - Identity & Single Sign On for all earthlings and beyond.项目地址: https://gitcode.com/gh_mirrors/ca/cas