对接统一身份认证：大学wifi网络收费系统打通CAS与Radius的坑

大学一般都有统一身份认证，学生用学号密码登录各种校内系统，无线收费如果另搞一套账号，学生要记两套密码、运维要维护两套用户，纯属自找麻烦。一套把对接想清楚的大学wifi网络收费系统，要接学校的统一身份认证，后端走Radius做接入控制，前端用CAS做单点登录。想法没问题但坑不少，属性映射错、协议版本不对、同步延迟，每一处都能变成登录故障。对接的坑不在连不上，在连上后算不清。对接是账的暗河。

为何接统一身份

统一身份认证是学校最成熟的用户底座，学生都熟，接上能少一套账号和一套运维。我们在方案里把统一身份当作首选接入。大学wifi网络收费系统接统一身份，图的是体验和运维的减法。接得稳，学生和运维都轻松。接身份为减法。

CAS单点登录

前端登录走CAS，学生用学号密码一次登录就能上网，不用再记无线专用密码。我们在部署里做CAS回调加令牌校验。大学wifi网络收费系统的CAS，自己存密码既不安全也招忘密投诉。单点登录省心也安全。CAS做单点。

Radius接入控制

后端接入控制靠Radius，认证通过才放行进对应VLAN，计费系统读Radius记账。我们在架构上把Radius作为接入网关。大学wifi网络收费系统的Radius，是计费和网络的桥梁，桥不稳账就乱。Radius做桥，账才通。Radius做桥。

属性映射

学号、姓名、身份、院系这些属性怎么映射到计费账号，映射错了就张冠李戴。我们在部署里把映射做成显式关系并校验。大学wifi网络收费系统的映射，映射乱了扣错人最致命也最难查。映射要先校验后启用。映射要校验。

协议版本坑

老学校Radius可能是古早版本，新系统不支持就要做兼容适配，否则认证失败。我们在评估里先探测对端协议版本。大学wifi网络收费系统的版本，不探测就开发联调必返工。版本先探，开发不慌。版本要先探。

同步延迟

身份变更到计费生效有延迟，延迟大了学生改了密码还登不上反复操作。我们在设计里做近实时同步加对账任务。大学wifi网络收费系统的延迟，改完登不上最败好感。同步近实时，体验才稳。同步要近实。

计费读取

计费系统读统一身份的权限要最小，不能拿到全校人事全量，接口要鉴权和审计。我们在方案里把接口做成受限只读加日志。大学wifi网络收费系统的隔离，权限开太大是风险，窄了又接不通。最小权限加审计最稳。权限要最小。

故障降级

统一身份系统也有宕机时，那段时间学生登不上网要有兜底放行或备用账号。我们在架构上做降级，身份系统挂了先放后补。大学wifi网络收费系统的降级，一挂全场断网最糟，降级让故障可控。降级保基本，别全断。宕机有兜底。

运维边界

对接后两边系统任一方升级都可能断链，要定清楚谁负责联调谁负责告警。我们在交付时把运维边界写进合同。大学wifi网络收费系统的运维，边界不清出事互相推，学生骂的是学校。边界写清，责任才落。运维定边界。

落地建议

接统一身份前先画账户、资金、异常三条链路图，把映射、协议、降级逐一定方案再开发。我们在交付时把链路图和降级预案列为必过项。大学wifi网络收费系统的对接，图没画清就写代码联调阶段必返工。先画图后写码。

多因子认证

高敏感操作可叠加短信或令牌二次验证，防账号被盗用。我们在架构上做多因子加关键操作。大学wifi网络收费系统的多因子，单密码被盗一连片，二次验才稳。多因子加，别裸密。

guest与正式分流

访客走独立认证入口不和正式学生混，避免污染主身份源。我们在部署里做认证分流。大学wifi网络收费系统的分流，混入口难审计也难清。分流才清晰，别混。

属性同步频率

身份属性同步按事件触发而非定时扫，变更即时生效。我们在设计里做事件驱动同步。大学wifi网络收费系统的同步，定时扫延迟大体验差。事件即同步，别慢。

接口鉴权

对接统一身份的接口要双向鉴权加日志，防伪造请求。我们在方案里做接口签名加审计。大学wifi网络收费系统的接口，无鉴权等于敞开大门。鉴权加日志，别裸。

双活认证

认证服务做双活，单点故障无缝接管学生无感。我们在架构上做认证双活。大学wifi网络收费系统的双活，单点认证最怕挂。双活才稳，别单。

日志对接

认证日志和计费日志打通，排障一眼看全链路。我们在设计里做日志关联。大学wifi网络收费系统的日志，不关联排障瞎猜。关联才清，别散。

兼容老旧终端

部分老设备不支持新协议，要做兼容降级不踢人。我们在部署里做兼容层。大学wifi网络收费系统的兼容，硬踢老设备招投诉。兼容保接入，别踢。

灰度切换

对接新认证先灰度小部分用户，稳了全量。我们在部署里做灰度。大学wifi网络收费系统的灰度，全量切出错难回。灰度才稳，别莽。

失败兜底登录

统一身份挂时本地缓存凭证可登录，别全断。我们在架构上做凭证缓存。大学wifi网络收费系统的缓存，不缓存一挂全断。缓存保底，别裸。