PHP y CAS

El sistema de web SSO CAS es uno de los más extendidos entre la comunidad Open Source. Originalmete creado por la Universidad de Yale sirve para proporcionar a las aplicaciones un modo fiable de autenticar usuarios.

Existen muchos clientes de CAS para integrarse con aplicaciones de diferentes tecnologías como Java, .Net, Perl, Apache y PHP. Para este último caso, el cliente se llama phpCAS. Este cliente ofrece un forma fácil de proteger cualquier aplicación escrita en PHP.

Los requisitos para instalar phpCAS son:

• CURL 7.5+
• PHP 4.3.1+, PEAR DB
• Apache 2.0.44+

Con las últimas versiones de Apache 2.2.x y PHP 5.x el cliente es muy fácil de usar porque tdos estos componentes ya están incluídos.

Un ejemplo de la forma más básica de usar del cliente phpCAS para proteger una aplicación es la siguiente:

<?php
include_once('CAS.php');
phpCAS::setDebug();
phpCAS::client(CAS_VERSION_2_0,'my_cs_server',443,'/cas');
// no SSL validation for the CAS server
phpCAS::setNoCasServerValidation();

// force CAS authentication
phpCAS::forceAuthentication();

// at this step, the user has been authenticated by the CAS server
// and the user's login name can be read with phpCAS::getUser().

// logout if desired
if (isset($_REQUEST['logout'])) {
phpCAS::logout();
}
echo phpCAS::getUser();
?>

En este ejemplo es importante destacar la forma de crear el cliente, donde se usa el nombre del servidor de CAS, el puerto del servicio CAS y la URI de CAS ('/cas'). En este último caso la URI ha de corresponder a la aplicación y nunca a la página de login ('/cas/login').

Ahora bien, este ejemplo puede no funcionar porque hay un problema a la hora de crear la sesión de la aplicación. Si se usa este ejemplo, la creación de la sesión de usuario está implícita en la creación del cliente. En muchos casos este comportamiento puede no ser el deseado ya que se pierde el control sobre la sesión o no se crea bien. Para solucionarlo hay que modificar el ejemplo de la siguiente forma:

<?php
include_once('CAS.php');
session_start();
phpCAS::setDebug();
phpCAS::client(CAS_VERSION_2_0,'my_cs_server',443,'/cas',false);
// no SSL validation for the CAS server
phpCAS::setNoCasServerValidation();

// force CAS authentication
phpCAS::forceAuthentication();

// at this step, the user has been authenticated by the CAS server
// and the user's login name can be read with phpCAS::getUser().

// logout if desired
if (isset($_REQUEST['logout'])) {
phpCAS::logout();
}
echo phpCAS::getUser();
?>

Con estos dos cambios, la sesión se crea de forma explícita y se le informa al cliente de CAS de que no ha de crear una nueva.