基于CAS协议的企业档案管理软件单点登录实操完整指南

前置准备

本次方案基于通用CAS单点登录协议，支持所有B/S架构的商业/自研档案管理软件，落地前请准备好以下环境：

环境与工具清单

• JDK 11：CAS 6.x版本强制要求，各环境安装获取方式：
  • Ubuntu/Debian：直接执行命令 sudo apt update && sudo apt install openjdk-11-jdk -y
  • CentOS/RHEL：直接执行命令 yum install java-11-openjdk-devel -y
  • Windows环境直接下载：https://adoptium.net/temurin/releases/?version=11
• Tomcat 9：用于部署CAS认证中心，下载地址：https://archive.apache.org/dist/tomcat/tomcat-9/v9.0.80/bin/apache-tomcat-9.0.80.tar.gz
• CAS认证中心War包：直接下载：https://github.com/apereo/cas/releases/download/v6.6.15/cas-webapp-6.6.15.war

步骤一：部署配置CAS认证中心

按顺序操作，不要跳过任何步骤：

1. 解压Tomcat压缩包，将下载好的CAS War包重命名为cas.war，放入Tomcat根目录下的webapps文件夹
2. 启动Tomcat：Linux执行./bin/startup.sh，Windows双击bin/startup.bat，等待Tomcat自动解压cas.war生成工程目录
3. 停止Tomcat，打开配置文件路径：webapps/cas/WEB-INF/classes/application.properties，清空原有内容，复制粘贴以下完整配置，替换你自己的域名即可： ``` CAS服务基础配置 cas.server.name=https://cas.你的企业域名.com:8443 cas.server.prefix=${cas.server.name}/cas 服务注册配置 cas.serviceRegistry.initFromJson=true cas.serviceRegistry.json.location=file:/etc/cas/services/ 内置测试用户名密码，后续可对接企业LDAP/AD用户库 cas.authn.accept.enabled=true cas.authn.accept.users=casadmin|cas123456 关闭无用功能，加快启动速度 cas.monitor.endpoints.enabled=false management.endpoints.enabled-by-default=false ```
4. 新建配置目录/etc/cas/services，在目录下新建授权文件ArchiveSystem-10000.json，复制以下内容，替换你的档案系统地址： ``` { "@class" : "org.apereo.cas.services.RegexRegisteredService", "serviceId" : "^https://你的档案系统地址/.", "name" : "企业档案管理系统", "id" : 10000, "evaluationOrder" : 100 } ``` 注意：serviceId的正则需要完全匹配档案系统地址，比如档案地址是https://archive.xxx.com，正则就写^https://archive\.xxx\.com/.
5. 保存所有配置，重新启动Tomcat，访问https://cas.你的企业域名.com:8443/cas/login，能打开登录页说明认证中心部署成功。

步骤二：档案管理系统端配置

分两种场景，对应不同类型的档案管理软件：

场景1：商业成品档案管理软件

绝大多数商业档案软件已经内置CAS单点登录支持，直接按以下步骤配置：

1. 用超级管理员账号登录档案系统后台
2. 找到菜单路径：系统设置 → 身份认证 → 单点登录配置
3. 开启CAS认证开关，填写以下参数：
   • CAS服务地址：https://cas.你的企业域名.com:8443/cas
   • 回调地址：https://你的档案系统地址/cas/callback
   • 票据校验地址：https://cas.你的企业域名.com:8443/cas/p3/serviceValidate
4. 保存配置，重启档案系统服务，配置生效。

场景2：自研Spring Boot架构档案系统

如果是自研项目，直接整合CAS客户端，步骤如下：

1. 在项目pom.xml中引入以下依赖： ``` org.apereo.cas cas-client-core 3.6.4 net.unicon.cas cas-client-autoconfig-support 2.3.0-GA ```
2. 在项目application.properties中添加以下完整配置，替换对应地址： ``` cas.enabled=true cas.server-url-prefix=https://cas.你的企业域名.com:8443/cas cas.server-login-url=${cas.server-url-prefix}/login cas.client-host-url=https://你的档案系统地址 cas.validation-url=${cas.server-url-prefix}/p3/serviceValidate ```
3. 在项目启动类上添加注解@EnableCasClient，示例： ``` @SpringBootApplication @EnableCasClient public class ArchiveApplication { public static void main(String[] args) { SpringApplication.run(ArchiveApplication.class, args); } } ```
4. 重启Spring Boot项目，配置完成。

步骤三：联调测试验证

1. 清空浏览器缓存，打开档案系统任意需要登录的页面，如果自动跳转到CAS登录页，说明跳转配置正常
2. 输入测试账号casadmin，密码cas123456，点击登录
3. 登录成功后自动跳转回档案系统，如果已经处于登录状态，说明单点登录配置成功
4. 打开新的隐私窗口，再次访问档案系统，无需输入密码即可直接登录，说明单点登录会话生效
5. 点击退出登录，会同时退出CAS会话和档案系统会话，再次访问需要重新登录，说明单点登出生效

常见问题排查

提示「未授权的服务」无法登录

检查CAS服务配置文件中的serviceId正则是否正确，必须完整匹配档案系统的访问协议和域名，服务ID不能和其他已注册服务重复。

登录后提示票据校验失败

检查CAS认证中心和档案系统是否可以通过域名互相访问，禁止使用localhost做测试，必须用可解析域名，同时确保两端协议一致（同为HTTP或HTTPS）。

出现登录跳转循环

检查档案系统是否开启了session共享，核对CAS端serviceId配置，同时检查浏览器是否禁用了第三方Cookie，调整设置后即可解决。