CAS4.0登录跳转service的配置不会存在网络钓鱼的问题吗？

Question

http://192.168.3.148:8080/cas/login?service=http://www.baidu.com/
service=XXXX,XXX可以随便替换和被攻击，这样不会存在问题吗？

Answer 1

配置CAS 4.0时，确实存在潜在的网络钓鱼风险，尤其是如果service参数可以被随意替换为恶意网站的URL时。这可能会导致用户被引导到恶意网站，而不自知地提供其CAS凭据。这种攻击通常被称为“重定向攻击”。

要缓解这种风险，可以考虑以下几点：

1. 限制允许的服务URL： 可以配置CAS服务器，限制允许的service参数只能是受信任的服务URL，而不是允许任意URL。这样可以减少重定向攻击的风险。

2. 使用HTTPS： 确保CAS服务器和所有服务都通过HTTPS进行通信，以减少信息泄漏和中间人攻击的风险。

3. 警告用户： 在CAS登录页面上，向用户明确说明他们即将被重定向到的服务，并提醒他们确认服务的合法性。这可以提高用户对潜在风险的警觉性。

4. 二次确认： 可以在重定向之前要求用户进行二次确认，以确保他们明白他们将要访问的服务是他们预期的。

综上所述，虽然CAS提供了方便的单点登录功能，但确实需要注意在配置时要谨慎处理service参数，以减少网络钓鱼等安全风险。