CAS概述
CAS 全稱集中式認證服務(Central Authentication Service)，是實現單點登錄(SSO)的一種手段。
對於本文用戶可感知的層面，認證過程如下：
- 前端訪問后端登錄接口
- 后端返回重定向到 CAS 服務器的登錄頁面，並攜帶當前用戶訪問的網頁鏈接
- 用戶登錄，瀏覽器發送請求到 CAS 服務器進行認證
- CAS 認證通過，將本次登錄保存到會話，返回回調地址給后端
- 后端返回重定向請求給前端
- 前端重定向到跳轉登錄前的頁面
中間涉及到的 TGT 處理邏輯已經由開源 CAS Client(python-cas) 實現。
要注意，CAS 服務器本身有一些過濾條件，例如域名白名單等，因此接入的時候需要將新系統的域名或 IP 加入 CAS 服務端配置中。
接入 CAS
因為是第一次接觸 CAS ，為了方便調試，我在本地直接啟動一個 CAS 服務端用於調試。
CAS 客戶端也就是集成於我們實際開發的Django代碼中。
CAS 服務端配置
GitHub 中有很多 CAS 項目，我選了一個基於 Django 的 django-mama-cas 應用。
創建 django-cas-server 項目：
django-admin startproject django-cas-server
安裝 django-mama-cas 依賴：
pip install django-mama-cas
在 INSTALLED_APPS 中添加 'mama_cas' 應用：
settings.py
INSTALLED_APPS = [
...
'mama_cas',
]
添加 mama_cas 應用中的路由：
urls.py
urlpatterns += [url(r'', include('mama_cas.urls'))]
配置 CAS 信息：
MAMA_CAS_SERVICES = [
{
# 必填項，此項為**Client** IP:Port，相當於白名單
'SERVICE': 'http://127.0.0.1:8000',
# 回調模式，具體參考官方文檔
'CALLBACKS': [
'mama_cas.callbacks.user_model_attributes',
],
},
]
使用
python manage.py runserver 0.0.0.0:9000
服務啟動后，可以訪問 http://0.0.0.0:9000/login 到達 CAS 登錄頁面。
django-mama-cas 默認使用的是 django.auth 模塊 User ，使用 django-admin 創建超級用戶，該用戶也就可以用於登錄 CAS ：
CAS 客戶端
Python 有開源的 CAS 客戶端 python-cas ，由於我使用的 Django 開發后端，因此直接選用封裝好 python-cas 的 Django 應用 django-cas-ng 。
先安裝依賴：
pip install django-cas-ng
在 settings.py 中的 INSTALLED_APPS 和 AUTHENTICATION_BACKENDS 兩處添加 django-cas-ng 的配置：
settings.py
INSTALLED_APPS = (
# ... other installed apps
'django_cas_ng',
)
AUTHENTICATION_BACKENDS = (
'django.contrib.auth.backends.ModelBackend',
'django_cas_ng.backends.CASBackend',
)
同時參考准備接入的 CAS 地址和版本，添加幾個對應的配置：
# CAS 的地址
CAS_SERVER_URL = 'http://127.0.0.1:30000'
# CAS 版本
CAS_VERSION = '3'
# 存入所有 CAS 服務端返回的 User 數據。
CAS_APPLY_ATTRIBUTES_TO_USER = True
添加登入登出的路由（這兩部分邏輯已由 django-cas-ng 完成，可以直接使用。如果需要擴展，可以參照源碼自己實現即可）：
urls.py
import django_cas_ng.views as cas_views
urlpatterns = [
...
path('login/', django_cas_ng.views.LoginView.as_view(), name='cas_ng_login'),
path('logout/', django_cas_ng.views.LogoutView.as_view(), name='cas_ng_logout'),
]
調試
啟動當前服務：
python manage.py runserver
訪問 http://127.0.0.1:8000/login ，網頁將會跳轉到 http://127.0.0.1:30000/login?service=http://127.0.0.1:8000 CAS 登錄頁面（注意端口不同），登錄成功后將會跳轉回來。
總結
CAS 本身邏輯需要理解，但是畢竟是成熟的單點登錄架構，一般都存在開源的客戶端實現，代碼量不多，多調試多參考文檔配置即可。