后端認(rèn)證鑒權(quán)單點(diǎn)登錄【免費(fèi)下載鏈接】casApereo CAS - Identity Single Sign On for all earthlings and beyond.項目地址https://gitcode.com/gh_mirrors/ca/cas點(diǎn)擊查看免費(fèi)下載Passwordless Authentication無密碼認(rèn)證是 Apereo CAS 提供的一種認(rèn)證形態(tài)它把密碼這一傳統(tǒng)憑證替換為過期時間可配置的臨時 Token用戶僅需提供用戶名等標(biāo)識CAS 從賬戶存儲中定位其郵箱、手機(jī)號等聯(lián)系方式通過郵件或短信下發(fā)一次性 Token用戶回傳 Token 后即可完成認(rèn)證。本篇指南以 Passwordless-Authentication.md 為主干結(jié)合倉庫內(nèi)全部 Passwordless 子文檔與cas-server-support-passwordless-*系列模塊源碼系統(tǒng)講解其架構(gòu)原理、賬戶存儲、Token 管理、通知發(fā)送、MFA/委托認(rèn)證集成、按應(yīng)用啟用控制與 reCAPTCHA 加固讀完即可在 CAS Overlay 中落地一套可運(yùn)行的免密登錄方案。認(rèn)識 Passwordless Authentication核心概念與認(rèn)證流程Passwordless Authentication 的核心理念是把傳統(tǒng)密碼替換為短期有效的一次性 Token。其典型認(rèn)證流程如下用戶在登錄頁輸入標(biāo)識符通常是用戶名CAS 依據(jù)該標(biāo)識符到**賬戶存儲Account Store**中查找用戶記錄該記錄中保存著聯(lián)系方式郵箱、手機(jī)號等定位成功后CAS 生成 Token 并通過配置好的**通知策略如郵件、短信**發(fā)送給用戶用戶將 Token 回填給 CASCAS 校驗通過后放行完成認(rèn)證。用倉庫中 PasswordlessUserAccount.java 的模型可以更直觀地理解賬戶承載的信息除了username、email、phone、name與通用attributes外還包含requestPassword、allowSelectionMenu、multifactorAuthenticationEligible、delegatedAuthenticationEligible、allowedDelegatedClients等與下游流程密碼回退、選擇菜單、MFA、委托認(rèn)證相關(guān)的開關(guān)字段。該類的hasContactInformation()方法判定賬戶是否具備可用的聯(lián)系方式手機(jī)號或郵箱非空是 Token 能否下發(fā)的先決條件。需要特別說明的是當(dāng)前版本尚不支持魔法鏈接Magic Link即 CAS 不會把 Token 直接嵌入鏈接、免去用戶回填的環(huán)節(jié)用戶必須主動把收到的 Token 交還給 CAS 才能繼續(xù)。這一變體可能在未來的版本中實現(xiàn)原文檔明確注記。要成功啟用該功能配置必須覆蓋兩條主線賬戶存儲用于定位有資格參與無密碼認(rèn)證的用戶記錄Token 管理負(fù)責(zé)對已簽發(fā) Token 執(zhí)行 find查找、validate校驗、expire過期、save保存等操作落在合適的數(shù)據(jù)存儲中。除此之外有資格的無密碼賬戶還可以被直接路由到指定的多因素認(rèn)證MFA提供方、委托給外部身份提供方做進(jìn)一步核驗或通過認(rèn)證選項選擇菜單讓用戶自選認(rèn)證方式。Passwordless 的其它變體除了上述 Token 式無密碼認(rèn)證CAS 還支持兩種同樣無密碼的變體QR Code 認(rèn)證用戶通過移動設(shè)備掃描二維碼完成登錄FIDO2 WebAuthn使用 FIDO2 設(shè)備如安全密鑰、生物識別驗證身份全程無需密碼。這兩種變體與本篇的 Token 式無密碼認(rèn)證共享免密的體驗?zāi)繕?biāo)但在憑證形態(tài)與交互方式上各自獨(dú)立。啟用模塊與核心配置入口在 CAS Overlay 中啟用 Passwordless Authentication需要在構(gòu)建依賴中加入以下模塊implementation org.apereo.cas:cas-server-support-passwordless-webflow該模塊是整個 Passwordless 登錄 Webflow 的裝配核心。從源碼結(jié)構(gòu)看它提供了一組職責(zé)清晰的 Webflow Action見 support/cas-server-support-passwordless-webflow/src/main/java/org/apereo/cas/web/flowAction 類職責(zé)PrepareForPasswordlessAuthenticationAction準(zhǔn)備無密碼認(rèn)證流程入口VerifyPasswordlessAccountAuthenticationAction校驗用戶輸入的標(biāo)識并定位賬戶CreatePasswordlessAuthenticationTokenAction生成并下發(fā) TokenAcceptPasswordlessAuthenticationAction接收并校驗用戶回傳的 TokenDetermineMultifactorPasswordlessAuthenticationAction判定是否轉(zhuǎn)入 MFA 流程AcceptPasswordlessSelectionMenuAction處理認(rèn)證選項選擇菜單的提交而 Webflow 的裝配與 Action 的注冊由CasPasswordlessAuthenticationWebflowAutoConfiguration與PasswordlessAuthenticationWebflowConfigurer完成PasswordlessAuthenticationWebflowConfigurer.java 是理解整條流程流轉(zhuǎn)順序的最佳入口。所有核心配置屬性統(tǒng)一掛載在cas.authn.passwordless.core.*前綴下。其下最常用的一組屬性均為 YAML 示意具體值需按部署環(huán)境設(shè)置cas: authn: passwordless: core: # 無密碼認(rèn)證在整體 CAS 認(rèn)證流程中的順序值越大優(yōu)先級越高 order: 0 # 用戶名輸入的賬號參數(shù)名與登錄表單字段對應(yīng) account-name-attribute: username # 是否允許在多因素/委托認(rèn)證評估前展示無密碼登錄 enabled: true提示core前綴下的完整屬性清單以 CAS 配置元數(shù)據(jù)為準(zhǔn)可在 Overlay 的配置屬性參考Configuration Properties頁面按cas.authn.passwordless.core.過濾查看。賬戶存儲Account Stores從哪里找到免密用戶用戶記錄必須能被 CAS 定位CAS 通過下述策略之一查找有資格參與無密碼認(rèn)證的用戶詳見 Passwordless-Authentication-Account-Storage.md策略說明Simple靜態(tài)用戶名映射適合測試與演示MongoDb從 MongoDB 集合讀取賬戶LDAP從 LDAP 目錄讀取賬戶JSON從 JSON 資源讀取賬戶Groovy由 Groovy 腳本動態(tài)返回賬戶REST調(diào)用 REST API 獲取賬戶Custom自研實現(xiàn)PasswordlessUserAccountStoreDuo Security與 Duo Security 賬戶體系集成多種賬戶存儲可以同時啟用CAS 會依次查詢、共同定位并校驗無密碼賬戶。從源碼看ChainingPasswordlessAccountStore見 impl/account/ChainingPasswordlessAccountStore.java正是承擔(dān)這一鏈?zhǔn)讲檎衣氊?zé)的實現(xiàn)。Simple 存儲開箱即用的靜態(tài)映射Simple 存儲提供一張靜態(tài)映射表鍵為可參與認(rèn)證的用戶名值為用于聯(lián)系用戶的郵箱或手機(jī)號。其配置前綴為cas.authn.passwordless.accounts.simplecas: authn: passwordless: accounts: simple: casuser: casuserexample.org otheruser: 1-202-555-0100該實現(xiàn)對應(yīng)源碼中的 SimplePasswordlessUserAccountStore.java適合開發(fā)與演示場景快速驗證流程。JSON 存儲帶豐富控制字段的賬戶定義JSON 存儲通過 JSON 資源定位用戶記錄配置前綴為cas.authn.passwordless.accounts.json設(shè)置location指向 JSON 文件路徑。示例{ class : java.util.LinkedHashMap, casuser\\w.com : { class: org.apereo.cas.api.PasswordlessUserAccount, username: casuser, attributes: { class: java.util.LinkedHashMap, name: [ java.util.ArrayList, [value] ] }, multifactorAuthenticationEligible: TRUE, delegatedAuthenticationEligible: TRUE, allowedDelegatedClients : [ java.util.ArrayList, [ ClientName1 ] ], requestPassword: false, allowSelectionMenu: false } }注意鍵可以是正則表達(dá)式如上例的casuser\\w.com同一表達(dá)式可匹配多個用戶標(biāo)識。賬戶對象中的multifactorAuthenticationEligible、delegatedAuthenticationEligible為三態(tài)布爾TRUE/FALSE/UNDEFINED對應(yīng)源碼中 PasswordlessUserAccount.java 的TriStateBoolean字段用于聲明該賬戶是否具備進(jìn)入 MFA/委托認(rèn)證流程的資格。對應(yīng)實現(xiàn)類為 JsonPasswordlessUserAccountStore.java。賬戶定制Customization賬戶從存儲中被定位后可以通過 Groovy 腳本做二次加工以動態(tài)調(diào)整 MFA 是否啟用、密碼流程等賬戶屬性。腳本示例如下見 Passwordless-Authentication-Account-Storage.mdimport org.apereo.cas.api.* def run(Object[] args) { def (account,applicationContext,logger) args logger.info(Customizing $account) // Update the account... return account }腳本接收三個參數(shù)參數(shù)說明account待更新的PasswordlessUserAccount對象applicationContextSpring 應(yīng)用上下文logger日志對象如logger.info(...)對應(yīng)的底層實現(xiàn)是 GroovyPasswordlessUserAccountCustomizer.java。除了腳本方式也可以實現(xiàn)PasswordlessUserAccountCustomizer接口并注冊為 Spring BeanBean public PasswordlessUserAccountCustomizer myCustomizer() { return new MyPasswordlessUserAccountCustomizer(); }關(guān)于如何將自定義配置注冊進(jìn) CAS 運(yùn)行時可參考 Configuration-Management-Extensions 指南。按用戶禁用無密碼流程無密碼認(rèn)證可以按用戶條件性地禁用如果賬戶存儲返回的賬戶其requestPassword為true則無密碼流程Token 生成與下發(fā)等會被跳過轉(zhuǎn)而走常規(guī)的 CAS 密碼認(rèn)證流程向用戶索要密碼。該行為是否可用取決于各賬戶存儲實現(xiàn)是否支持該字段從源碼看requestPassword是 PasswordlessUserAccount.java 的內(nèi)置布爾屬性。Actuator 端點(diǎn)賬戶存儲模塊還暴露了用于健康檢查的 Actuator 端點(diǎn)health端點(diǎn)新增了passwordless健康指示器可用于監(jiān)控?zé)o密碼賬戶存儲的連接狀態(tài)。Token 管理簽發(fā)、存儲、校驗與過期Token 管理策略決定了已簽發(fā) Token 在 CAS 中的保存與生命周期處理方式詳見 Passwordless-Authentication-Tokens.md策略說明Memory默認(rèn)選項Token 保存在內(nèi)存緩存中帶可配置的過期時間MongoDb存入 MongoDBJPA存入關(guān)系型數(shù)據(jù)庫REST通過 REST API 管理Custom自研實現(xiàn)PasswordlessTokenRepository其核心配置前綴為cas.authn.passwordless.tokens其中.core與.crypto兩組子屬性尤為關(guān)鍵cas.authn.passwordless.tokens.core.*Token 的核心行為包括過期時間expiration決定 Token 多久失效等cas.authn.passwordless.tokens.crypto.*Token 的加解密設(shè)置用于對 Token 做簽名/加密保護(hù)。從源碼看默認(rèn)的內(nèi)存實現(xiàn)是 InMemoryPasswordlessTokenRepository.java它配合 PasswordlessAuthenticationToken.javaToken 領(lǐng)域?qū)ο笈c PasswordlessTokenCipherExecutor.java加解密執(zhí)行器完成簽發(fā)、存儲與校驗REST 變體則由 RestfulPasswordlessTokenRepository.java 實現(xiàn)。抽象契約定義在 PasswordlessTokenRepository.java其方法即對應(yīng)原文檔所述 find/validate/expire/save 等操作。JPA Token 存儲示例若需要把 Token 持久化到關(guān)系型數(shù)據(jù)庫需額外引入模塊implementation org.apereo.cas:cas-server-support-passwordless-jpa配置前綴為cas.authn.passwordless.tokens.jpa用于設(shè)置數(shù)據(jù)源等具體接入方式參考 Passwordless-Authentication-Tokens-JPA.md。其它持久化變體MongoDb、REST、Custom的配置入口可分別查閱對應(yīng)子文檔Tokens-MongoDbTokens-RestTokens-Custom消息與通知Token 如何送達(dá)用戶Token 通過短信、郵件等方式通知用戶詳見 Passwordless-Authentication-Notifications.md。相關(guān)配置前綴為cas.authn.passwordless.tokens.mail與cas.authn.passwordless.tokens.sms分別控制郵件與短信發(fā)送。CAS 的短信發(fā)送與郵件發(fā)送能力是全局基礎(chǔ)設(shè)施詳細(xì)配置請參考SMS 消息配置指南郵件發(fā)送配置指南郵件通知示例YAML 示意需按實際郵件服務(wù)器調(diào)整cas: authn: passwordless: tokens: mail: from: no-replyexample.org text: Your CAS passwordless token is %s subject: CAS Passwordless Token sms: from: 1-202-555-0100 text: Your CAS passwordless token is %s與多因素認(rèn)證MFA集成Passwordless Authentication 可與 CAS 的多因素認(rèn)證提供方集成詳見 Passwordless-Authentication-MFA.md。集成后的行為邏輯為當(dāng)配置開啟該行為或定位到的無密碼賬戶被判定為eligible具備 MFA 資格時若 CAS 中已定義并激活了 多因素認(rèn)證提供方且 多因素觸發(fā)器 判定該無密碼用戶滿足 MFA 條件則 CAS跳過自身正常的無密碼流程Token 生成等轉(zhuǎn)入對應(yīng)的 MFA 提供方流程反之若沒有可用 MFA 提供方或觸發(fā)器未命中該用戶則無密碼流程照常進(jìn)行。賬戶層面的資格由PasswordlessUserAccount的multifactorAuthenticationEligible三態(tài)布爾字段控制流程層面的路由決策由 Webflow 中的DetermineMultifactorPasswordlessAuthenticationAction承擔(dān)。委托認(rèn)證Delegated Authentication集成無密碼認(rèn)證同樣可以與 CAS 委托認(rèn)證集成詳見 Passwordless-Authentication-Delegation.md。當(dāng)配置開啟或賬戶被判定為可委托時若 CAS 中定義并激活了委托認(rèn)證提供方CAS 會跳過正常無密碼流程轉(zhuǎn)入委托身份提供方的流程沒有可用委托提供方時則照常進(jìn)行無密碼認(rèn)證。委托身份提供方的選擇由 Groovy 腳本決定腳本示例如下def run(Object[] args) { def (passwordlessUser,clients,httpServletRequest,logger) args logger.info(Testing username $passwordlessUser) clients[0] }腳本參數(shù)參數(shù)說明passwordlessUserPasswordlessUserAccount對象clients身份提供方配置集合httpServletRequestHTTP 請求對象logger日志對象腳本返回null表示跳過委托認(rèn)證或返回可用身份提供方集合中的一個選擇。啟用 Apache Groovy 支持請參考 Apache-Groovy-Scripting 指南。與之對應(yīng)的源碼實現(xiàn)包括 PasswordlessDetermineDelegatedAuthenticationAction.java 與PasswordlessDelegatedClientIdentityProviderAuthorizer委托客戶端授權(quán)器。認(rèn)證選項選擇菜單User Selection Menu當(dāng)一個無密碼賬戶同時具備多種認(rèn)證資格時可以讓用戶在認(rèn)證選項菜單中自選最合適的方式詳見 Passwordless-Authentication-UserSelectionMenu.md。菜單中可出現(xiàn)的選項完全由賬戶存儲返回的賬戶字段決定。以 JSON 存儲為例下列賬戶通過allowSelectionMenu: true開啟選擇菜單并通過delegatedAuthenticationEligible、multifactorAuthenticationEligible、requestPassword等字段聲明可選范圍{ class : java.util.LinkedHashMap, casuser : { class : org.apereo.cas.api.PasswordlessUserAccount, username: casuser, name : CAS, email: casuserexample.org allowSelectionMenu: true, requestPassword: true delegatedAuthenticationEligible: TRUE, allowedDelegatedClients : [ java.util.ArrayList, [ ExternalIdP ] ] multifactorAuthenticationEligible: TRUE, attributes : { class : java.util.TreeMap, memberOf : [ java.util.ArrayList, [ mfa ] ], email: [ java.util.ArrayList, [ casuserexample.org ] ] } } }上述賬戶允許 CAS 向用戶呈現(xiàn)如下選擇通過密碼認(rèn)證requestPassword: true通過ExternalIdP身份提供方進(jìn)行委托認(rèn)證多因素認(rèn)證memberOf屬性含mfa無密碼 Token 認(rèn)證。流程層由PreparePasswordlessSelectionMenuAction、AcceptPasswordlessSelectionMenuAction與PasswordlessCasWebflowLoginContextProvider等類協(xié)同實現(xiàn)見 support/cas-server-support-passwordless-webflow/src/main/java/org/apereo/cas/web/flow。按應(yīng)用Per Application啟用控制無密碼認(rèn)證可以按具體應(yīng)用/服務(wù)選擇性啟用或禁用詳見 Passwordless-Authentication-PerApplication.md。默認(rèn)情況下所有服務(wù)與應(yīng)用都具備無密碼認(rèn)證資格。若要對某個應(yīng)用禁用可在服務(wù)定義中配置passwordlessPolicy{ class: org.apereo.cas.services.CasRegisteredService, serviceId: ^https://app.example.org, name: App, id: 1, passwordlessPolicy : { class : org.apereo.cas.services.DefaultRegisteredServicePasswordlessPolicy, enabled: false } }策略支持以下設(shè)置名稱說明enabled布爾值定義該服務(wù)是否允許無密碼認(rèn)證reCAPTCHA 集成為無密碼登錄加一道防線無密碼認(rèn)證嘗試可以接入 Google reCAPTCHA 做人機(jī)校驗。啟用步驟配置 reCAPTCHA 的基礎(chǔ)接入?yún)?shù)站點(diǎn)密鑰、私鑰等配置前綴為cas.authn.passwordless.google-recaptcha指示無密碼登錄流程開啟 reCAPTCHA 驗證對請求進(jìn)行校驗。Webflow 層面由 PasswordlessAuthenticationCaptchaWebflowConfigurer.java 負(fù)責(zé)將驗證碼流程織入無密碼 Webflow。一條完整的啟用路徑從模塊到登錄將以上各環(huán)節(jié)串起來落地 Passwordless Authentication 的最小路徑是引入模塊在 Overlay 中加入cas-server-support-passwordless-webflow如需數(shù)據(jù)庫 Token 存儲另加cas-server-support-passwordless-jpa等配置賬戶存儲按業(yè)務(wù)選擇 Simple/JSON/LDAP/MongoDb/Groovy/REST 等策略必要時疊加多個存儲并用ChainingPasswordlessAccountStore鏈?zhǔn)讲檎遗渲?Token 管理默認(rèn) Memory 緩存即可起步生產(chǎn)環(huán)境建議切換為 JPA/MongoDb/REST 持久化并設(shè)置cas.authn.passwordless.tokens.core.expiration控制有效期、通過tokens.crypto配置加解密配置通知渠道設(shè)置tokens.mail/tokens.sms確保 Token 能送達(dá)用戶按需集成增強(qiáng)接入 MFA、委托認(rèn)證、選擇菜單、按應(yīng)用策略或 reCAPTCHA驗證通過health端點(diǎn)的passwordless健康指示器確認(rèn)賬戶存儲連接正常再走通輸入用戶名 → 收到 Token → 回填 Token → 登錄成功的完整鏈路。相關(guān)子文檔索引以下子文檔與本主題直接相關(guān)可按需深入Passwordless Authentication - Account StoragePasswordless Authentication - TokensPasswordless Authentication - NotificationsPasswordless Authentication - Per ApplicationPasswordless Authentication - MFAPasswordless Authentication - DelegationPasswordless Authentication - User Selection MenuPasswordless Authentication - reCAPTCHAPasswordless Authentication - QR Code贊分享后端認(rèn)證鑒權(quán)單點(diǎn)登錄【免費(fèi)下載鏈接】casApereo CAS - Identity Single Sign On for all earthlings and beyond.項目地址https://gitcode.com/gh_mirrors/ca/cas點(diǎn)擊查看免費(fèi)下載相關(guān)推薦Apereo CAS LDAP 密碼無感認(rèn)證賬戶存儲Passwordless Authentication Storage實戰(zhàn)指南Apereo CAS LDAP 密碼無感認(rèn)證賬戶存儲Passwordless Authentication Storage實戰(zhàn)指南 導(dǎo)讀 本文講解 Aper后端認(rèn)證鑒權(quán)單點(diǎn)登錄Apereo CAS 無密碼認(rèn)證賬戶存儲Passwordless Account Stores完全指南Apereo CAS 無密碼認(rèn)證賬戶存儲Passwordless Account Stores完全指南 導(dǎo)讀 本文以 Apereo CAS 官方文檔 Pas后端認(rèn)證鑒權(quán)單點(diǎn)登錄Apereo CAS 無密碼認(rèn)證令牌管理Passwordless Authentication Tokens五種存儲策略與源碼級解析Apereo CAS 無密碼認(rèn)證令牌管理Passwordless Authentication Tokens五種存儲策略與源碼級解析 本文基于 docs/后端認(rèn)證鑒權(quán)單點(diǎn)登錄創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考