最近,當我使用CAS服務器時,出現了一個概念性問題......正如我在理解票證驗證成功之後,該票證即將被擦除......但是爲什麼?用戶角色在哪裏檢查?中心身份驗證服務器體系結構和身份驗證流程
Thanx
最近,當我使用CAS服務器時,出現了一個概念性問題......正如我在理解票證驗證成功之後,該票證即將被擦除......但是爲什麼?用戶角色在哪裏檢查?中心身份驗證服務器體系結構和身份驗證流程
Thanx
默認情況下,ServiceTicket(ST)只能使用一次,並且僅在短時間內使用(其綁定爲MultiTimeUseOrTimeoutExpirationPolicy
)。這就像邁克所說的那樣,以確保它沒有被濫用。這種預先設置可以,如果你真的需要,我通過改變ticketExpirationPolicy.xml
文件
然而TicketGrantingTicket(TGT)保持活躍,默認情況下只綁定到TimeoutExpirationPolicy
而不是由量的限制已經寫上another post改變的請求。根據TGT,CAS可以根據需要創建儘可能多的ST。
CAS服務票據一次性用於消除重播攻擊的風險。如果您使用推薦的設置,則客戶端應該只通過HTTPS與CAS服務器通話,所以當從CAS服務器獲取服務票據時,它仍然是保密的。然而,客戶端可能會在未加密的通道(即HTTP)上向客戶端呈現所需的服務。因此,假設它在第一次使用後是保密的,這已經不再安全。此外,一次使用是驗證客戶端所需的全部內容,因此在此之後允許額外的使用沒有多大意義。這只是要求麻煩。
當談到用戶角色時,這取決於您的應用程序。 CAS的目的是告訴你你正在處理的是誰(認證),並且它做得很好。允許特定用戶在您的應用程序(授權)中做什麼是一個不同的問題,而不是CAS想要解決的問題。