CAS擴展——自定義查詢數據庫驗證Handler

問題由來

    當我們使用CAS來搭建我們的單點登錄系統時，由於CAS默認的登錄認證是簡單的用戶名和密碼相同即可通過認證，所以我們使用時經常需要通過查詢數據庫來認證用戶名和密碼。這便需要擴展CAS驗證的Handler。

解決方案

    首先找到CAS中很重要的一個配置文件，deployerConfigContext.xml，在X:\tomcat6\webapps\cas-server\WEB-INF下。找到

<bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />

    這段是CAS默認的登錄方式，即用戶名和密碼相同即可通過認證。我們現在需要改造它使之可以通過數據庫查詢的用戶名和密碼進行驗證。

    把上面的代碼替換成：

<bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">
    <property name="sql" value="select password from ucenter_user where username=? " />
    <property name="dataSource" ref="dataSource" />
</bean>

    CAS認證的邏輯是，先通過sql獲取該用戶名的密碼，然后用該密碼和用戶名輸入的密碼進行比對，如果相同則通過認證。

    dataSource是數據庫配置：

<bean id="dataSource"
        class="org.springframework.jdbc.datasource.DriverManagerDataSource">
        <property name="driverClassName">
            <value>oracle.jdbc.driver.OracleDriver</value>
        </property>
        <property name="url">
            <value>jdbc:oracle:thin:@192.168.2.233:1521:splexsrc</value>
        </property>
        <property name="username">
            <value>username</value>
        </property>
        <property name="password">
            <value>passport</value>
        </property>
    </bean>

    這樣做已基本滿足大部分業務的需求，但如果遇到一些特殊的需求，如要求登錄支持用戶名、郵箱地址、手機號碼。你該怎么辦呢？

<bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">  
    <property name="sql" value="select password from ucenter_user where username=? or email=? or mobile=?" />  
    <property name="dataSource" ref="dataSource" />  
</bean> 

    是這樣嗎？那我們看看QueryDatabaseAuthenticationHandler.java的源碼：

public class QueryDatabaseAuthenticationHandler extends AbstractJdbcUsernamePasswordAuthenticationHandler {

    @NotNull
    private String sql;

    protected final boolean authenticateUsernamePasswordInternal(final UsernamePasswordCredentials credentials) throws AuthenticationException {
        final String username = getPrincipalNameTransformer().transform(credentials.getUsername());
        final String password = credentials.getPassword();
        final String encryptedPassword = this.getPasswordEncoder().encode(
            password);

        try {
            final String dbPassword = getJdbcTemplate().queryForObject(this.sql, String.class, username);
            return dbPassword.equals(encryptedPassword);
        } catch (final IncorrectResultSizeDataAccessException e) {
            // this means the username was not found.
            return false;
        }
    }

    /**
     * @param sql The sql to set.
     */
    public void setSql(final String sql) {
        this.sql = sql;
    }
}

    注意看line 13，QueryDatabaseAuthenticationHandler.java只支持一個參數，也就是說我們前面的寫法是錯誤的，那么找到了原因，解決就很簡單了。

    自定義一個驗證Handler，同樣繼承AbstractJdbcUsernamePasswordAuthenticationHandler.java.

public class UCQueryDatabaseAuthenticationHandler extends AbstractJdbcUsernamePasswordAuthenticationHandler {

    @NotNull
    private String sql;

    protected final boolean authenticateUsernamePasswordInternal(final UsernamePasswordCredentials credentials) throws AuthenticationException {
        final String id = getPrincipalNameTransformer().transform(credentials.getUsername());
        final String password = credentials.getPassword();
        final String encryptedPassword = this.getPasswordEncoder().encode(
            password);

        try {
            final String dbPassword = getJdbcTemplate().queryForObject(this.sql, String.class, id,id,id);
            return dbPassword.equals(encryptedPassword);
        } catch (final IncorrectResultSizeDataAccessException e) {
            // this means the username was not found.
            return false;
        }
    }

    /**
     * @param sql The sql to set.
     */
    public void setSql(final String sql) {
        this.sql = sql;
    }
}

    注意line13,因為傳入的sql=select password from ucenter_user where username=? or email=? or mobile=?。所以這里在查詢時需要配置三個參數，均是用戶名登陸填寫的用戶名（郵箱、手機號）。這樣就滿足了我們的需求，支持用戶名、郵箱、手機號碼登陸。