下午4点10分到达工厂门口，然后开始拨电话，无人接听。很纳闷。然后打电话给D，问同行工程师电话，D不知，电话助理，助理不知，电话原来呆过的ps，总算接通，才算是正式入场。

入场歇了会，然后组织人员开会，了解最原始的需求，硬件环境，软件环境，目前性能情况，项目架构。

会后开始干活。

第一天，把周边的邮件系统搞死了。

和在场工程师加床拼个房间。

小插曲：P同学订房没订上，前台大发脾气。我在想，要是能讹几份免费早餐会更好。

第二天，firewall +dns 死了。

小插曲：和客户人员聚餐，技术化的人沟通比较有意思。：）

第三天，数据量不大的情况下数据库deadlock。

小插曲，客户IT部头请吃饭，白话了技术的，管理的，经文很多玩意，不管是不是酒话，算是对客户的帮助吧。

第四天，定位死锁问题，

小插曲，IT部的头早上开车来接，晚上P同学请吃饭。发现最近自己的话忒多了点。

第五天，搞定死锁问题，召集性能结束会议。

eos+bps的性能还是不错的，如果有大的性能问题，一定是使用和架构的问题。：），说这句话，我很有底气。

下午，拎着客户送的礼品踏上回家的路。

---------------------------------------------------------------------------

1）就算是业务，客户不一定比自己更精通。

2）搞定问题的方式有很多，要学着全面看问题。

3）不迷信任何牛人，所谓愚者千虑亦有一得，多想想，那一得才是必须的。

在性能测试的过程中，由于客户的要求不能开放对应的服务。Remote Procedure Call(RPC)和Remote Registry Service。loadrunner连接不上windows资源进行监控。

那我们只能将性能数据导出到excel中，用excel强大的图表进行分析。

废话不多说，开始吧。

开始，运行，perfmon，打开性能监控工具。

点击计数器日志，右边一般会出现一个文件 system overview 的日志文件。

在右边空白处，点击右键，新建日志设置。

输入该设置名称。然后添加计数器。

主要监控processor，disk和memorry的状况，那就添加对应的计数器即可。

调整数据采样间隔，和loadrunner的数据采样间隔保持一致。

窗口头上，tab切换到日志文件。

选择文件类型，选择文本文件。

例如中就会出现C:\PerfLogs\PTest_000002.csv 类似这种值。

然后启动该日志配置。在工具栏中。

压力测试之后，用excel打开对应的csv文件。

查看对应的列，使用excel图标对应该列生成折线图即可。

本文档记录在测试中发现的问题和结果的过程。积累思路。

--------------------bes 安装------------------

borland的哥们给的安装包很智能，一个sh文件即可。通过host模块方式部署文档，war包无法加载。

打印出classloader，war包中的lib无法加载，

$jar -xvf  ***.jar  解开报错。

问题所在，ftp 上传，没有设置bin模式。

ftp>bin

设置bin模式，再次上传，用jar能解开，即可不是war包。

---------------------数据库----------------------

1）快照描述，大量性能损耗在日志轮换。

oracle的日志，redo.log，需要放在IO最好的磁盘中。

通过em或者命令行，添加redo.log文件，切换，删掉原有redo.log即可。

2）命令行模式安装快照。

sql>@C:\oracle\product\10.2.0\db_1\RDBMS\ADMIN\spcreate.sql

安装如出现not connecting

需在spcreate.sql 中加入连接字符串。

connect perfstat/&&perfstat_password@eos  即可。

-------------------服务器调优----------------

bes的服务器，接入端包装的为tomcat。

可以通过修改 /bes/BES6.7/var/domains/base/configurations/BPS6.0/mos/standard/adm/tomcat/conf

目录下的server.xml来做调整。

比如连接池，超时时间，更改此文件，可以参考tomcat的更改方式。

压力测试需要调整log的级别。

/home/bes/BES6.7/var/domains/base/configurations/EOS6.1/mos/standard/adm/logs，日志相关配置可以通过修改/home/bes/BES6.6/var/domains/base/configurations/EOS6.1/mos/standard/adm/properties/

logConfiguration.xml来完成。

如果日志量很大，可以考虑调低日志级别

--------------------应用调优------------------

通过调整应用中的业务逻辑，省掉数据库操作，来调整。

-------------------loadrunner脚本验证-------------

在压力测试中，loadrunner脚本变量设置，可能会出现变量越界的情况。

和数据库配合统计，来保证测试结果的正确。

------------------------------------------------------------------------

一次性能测试，涉及的因素可能有以下几个方面：

1）硬件，包括app服务器，database 服务器，loadrunner client，网络等。

2）软件，包括app 应用服务器，database应用服务器，loadrunner 设置等。

3）测试案例。

4）测试脚本。

隔离问题，才能解决问题。

   3月3号，工作时间，3小时。

1.       了解需求，客户提出按照他们的开发场景，按照通用测试方式测试，根据word版本的要求，开发测试用例。

   3月4号，工作时间，9小时。

1.       更改用例，录制脚本；

2.       windows2003 应用服务器宕机，查明原因是因为没有补丁，打补丁。

3.       本地压力试跑，压力100，本地网络使用99%，重新创建windows2003 虚拟机，在千兆网段。

4.       表空间不够，新建100G的表空间。

5.       容量测试完成，并发压力测试，windows2003的操作系统内核参数调整失败，无法接受到大于1600的集合点并发请求。

3月5号，工作时间，8小时。

1.       由于app server操作系统的问题，在aix上重新安装weblogic10.3，eos 6.1。

2.       并发压力测试压力机不够，联系系统部门安装分配新的虚拟机3台。

3.       完成最大并发测试。由于网络流量和loadrunner 虚拟机数量的限制，并发用户到了5000，没有错误。

4.       基于windows2003的应用服务器完成容量测试。

5.       和多方沟通关于版本测试的问题。下载不到weblogic923for aix的版本，没有做关于1.5JDK的测试。

6.       和对方沟通关于EJB远程部署，交接测试的环境。

定的3月5号晚上11点半回到上海。

这次住的地方貌似还不错，是原来的驻马店酒店。

一起工作的小伙是85年的，年轻有为，也挺好。

虽然是私企，但给人感觉国企的氛围十分重。一些领导三句落不到关键点上，拿客户忽悠。不太靠谱。

当然，这些都不关我的事情。

TPC为非赢利性国际组织，事物处理性能委员会（TPC，Transaction Processing Corp）。

-----------------TPC-C--------------

TPC-C是一种旨在衡量联机事务处理（OLTP）系统性能与可伸缩性的行业标准基准测试项目。这种基准测试项目将对包括查询、更新及队列式小批量事务在内的广泛数据库功能进行测试。许多IT专业人员将TPC-C视为衡量“真实”OLTP系统性能的有效指示器。

TPC-C基准测试针对一种模拟订单录入与销售环境测量每分钟商业事务（tpmC）吞吐量。特别值得一提的是，它将专门测量系统在同时执行其它四种事务类型（如支付、订单状态更新、交付及证券级变更）时每分钟所生成的新增订单事务数量。

-----------------TPM-C--------------

TPC-C的吞吐量，按有效TPC-C配置期间每分钟处理的平均交易次数测量，至少要运行12分钟。

-----------------TPC-C规范概要----------------

TPC-C测试规范中模拟了一个比较复杂并具有代表意义的OLTP应用环境:假设有一个大型商品批发商，它拥有若干个分布在不同区域的商品库；每个仓库负责为10个销售点供货；每个销售点为3000个客户提供服务；每个客户平均一个订单有10项产品;所有订单中约1%的产品在其直接所属的仓库中没有存货，需要由其他区域的仓库来供货。
该系统需要处理的交易为以下几种：
  New-Order：客户输入一笔新的订货交易；
  Payment:更新客户账户余额以反映其支付状况;
  Delivery:发货(模拟批处理交易);
  Order-Status:查询客户最近交易的状态；
  Stock-Level:查询仓库库存状况，以便能够及时补货。
对于前四种类型的交易，要求响应时间在5秒以内；对于库存状况查询交易，要求响应时间在20秒以内。

-----------------之间的关系------------------

TPC-C使用三种性能 和价格度量，其中性能由TPC-C吞吐率衡量，单位是tpmC。tpm是transactions per minute的简称；C指TPC中的C基准程序。它的定义是每分钟内系统处理的新订单个数。要注意的是，在处理新订单的同时，系统还要按表1的要求处理其它4类事务 请求。从表1可以看出，新订单请求不可能超出全部事务请求的45％，因此，当一个 系统的性能为1000tpmC时，它每分钟实际处理的请求数是2000多个。价格是指系 统的总价格，单位是美元，而价格性能比则定义为总价格÷性能，单位是＄/tpmC。

数据库维护

dbca 数据库界面维护

netca 网络监听界面维护

emctl控制台维护

常用命令如下：

emctl start dbconsole 启动em。

emctl stop dbconsole

rmi远程访问 hp -ux的应用，会转到到另外一个IP.

查看/etc/hosts文件，去掉无关的ip和描述。

操作数据库，大量事务，shutdown immediate，数据库挂起

SQL> alter system checkpoint; 　　

SQL> shutdown abort 　　

SQL> startup restrict 　　

SQL> shutdown immediate

SQL> startup

数据库cpu过高的跟踪过程

1.       确保EM关闭。

2.       确认对应的用户在对应的表空间。

SQL> select username,default_tablespace from user_users;

1．  查看sql参数是否生效

SQL> show parameter processes；

SQL> show parameter sessions；

SQL> show parameter sga；

SQL> show parameter pga；

2．  查看操作系统的参数是否生效。

#sam

在出来的字符集界面，查看Kernel Configuration

查看Tunables

查看设置的系统参数是否生效。

5.      查看IO.

Loadrunner无法监控hp-ux的系统资源

打开/etc/inetd.conf

找到

#rpc  dgram  udp  wait    root  /usr/lib/netsvc/rstat/rpc.rstatd

去掉注释，下次系统重新启动，即可监控。

或者在/usr/lib/netsvc/rstat/目录中

#./rpc.rstatd

数据库初始化

当库表的字段够多，而脚本初始化很快的时候，直接删除行会是一个比较漫长的过程。而且删除后需要分析该表格。

建议用 truncate table TRANJOURNAL 来清空表，重新初始化数据即可。

应用服务器连接数不够，sessions不够

请查看数据库对外的processes数量。

SQL>show parameter processes;

SQL>show parameter sessions;

如果低于连接数，参考修改processes,sessions修改。

查看sessions对应的sql为：

SQL>select * from v$resource_limit where resource_name = 'sessions';

指定MDRV.EXE使用进程数

在本次测试中，loadruner客户端，发起的JAVA协议连接，由于并发的数量比较大，我们只能采用线程的模式。在loadrunner中，默认的是每50个vuser会使用一个mdrv.exe进程，但是有些时候vuser中的使用的线程太多就会使测试程序的效率特别低，这时候就希望能够可以多起几个mdrv.exe的进程，每个进程中的vuser数量少一点，通过更改

HP\LoadRunner\dat\protocols\ Java_protocols.lrp文件。

在[Vugen]下面新加一条MaxThreadPerProcess=要设置的vuser数量 这样每个mdrv.exe进程中的vuser数量就是你上面设置的数量了。

JAVA协议测试，JVM参数配置

需要配置环境路径 

需要配置JVM参数

不能添加-server参数。

更改（windows 2003）操作系统的对外最大tcp连接数。

应用程序从系统请求可用用户端口时，TCP/IP 可指定的最高端口号。

使用 regedit 命令访问

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\TCPIP\Parameters 注册表子键并创建名为 MaxUserPort 的新 REG_DWORD 值。缺省值：无建议值：至少十进制 32768，最大值十进制 65535。重新启动系统后生效。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] “MaxUserPort”=dword:000415630

PS：此次测试用的可是正版的loadrunner。

比较奇怪的是weblogic11g，小版本号是weblogic10.3.2.

weblogic10.3安装

可选图形化界面安装或者字符集安装。

#./opt/java6/bin/java -jar server103_generic.jar

安装过程略，下一步下一步即可。

SEE 6.1GA 安装

安装EOS6.1GA，需安装xmanger，通过图形化界面安装。注意安装文件对应目录的剩余空间。因启动一般使用nohup的方式启动，防止由于控制台输出过大导致应用错误。

#dbf

该命令可以查询对应的文件夹下剩余的空间

SEE 6.1GA JVM参数调整

1．  最好是使用对应的应用服务器对应的JVM。该配置在startServer.sh中更改。

2．  根据应用的类型，需调整JVM的垃圾回收机制。

本次应用配置如下：

MEM_ARGS="-Xms2560m -Xmx2560m -Xoptgc -XX:+AggressiveOpts -XX:+DisableExplicitGC -XX:MaxPermSize=256m -Xloggc:gclog.log -XX:+PrintGC

Details -XX:+PrintGCTimeStamps"

MEM_ARGS="$MEM_ARGS -Dsun.rmi.dgc.client.gcInterval=3600000 -Dsun.rmi.dgc.server.gcInterval=360000"

数据库安装

    建立oracle用户属于dba group。

         # groupadd dba

# useradd -g dba oracle

# passwd oracle

# mkdir –p /oracle/product/10.2/db_1

# chown -R oracle:dba /opt/oracle

此命令和linux有所不同，请注意。

由于我们需要图形化安装，此处还需要设置环境变量。

#vi /home/oracle/.dtprofile

#export ORACLE_BASE=/opt/oracle

#export ORACLE_HOME=/oracle/product/10.2/db_1

#export ORACLE_SID=new

#export ORACLE_TERM=xterm

#export NLS_LANG=AMERICAN

#LD_LIBRARY_PATH=$ORACLE_HOME/jdk/fre/lib/i386:

$ORACLE_HOME/jdk/jre/lib/i386/server:$ORACLE_HOME/rdbms/lib:

$ORACLE_HOME/lib:$LD_LIBRARY_PATH

#export LD_LIBRARY_PATH

#export PATH=$ORACLE_HOME/bin:$PATH

安装Xmanager 在本机。启动Xmanager – Passive。

#export DISPLAY=10.10.3.151:0

# runinstaller -ignoresysprereqs     

Oracle 安装文件会验证HP-UX的版本号，所以需要加上ignoresysprereqs参数

图形化安装，安装时可以同时创建数据库。

选择通用安装即可。

安装到一定的程度的时候，会要求以root的身份执行2个脚本：

 $ su root

# /oracle/oraInventory/orainstRoot.sh

# /oracle/product/10.2/db_1/root.sh

安装过程不出现错误，默认情况下，em 会启动起来。

数据库参数调整

如果命令行不熟悉，可以使用EM。EM在默认安装下会直接启动起来。访问方式

http://10.10.3.151:1158/em或者https//10.10.3.151:1158/em

修改sga，pga的参数。

查看机器信息

#machinfo

……

Memory: 12219 MB (11.93 GB)

……

得出数据库应用服务器的内存为12个G。

独立应用服务器一般建议SGA的大小为应用服务器内存总量的40%。由于本次的应用测试的数据库操作相对简单，而且本次的数据库服务器上需要运行我们的BTF的模拟主机，不属于独立应用服务器，该模拟主机需占用1024M内存，所以在这里，我们给出了SGA的大小为3648M，PGA的大小与并发的数据库连接有关，数据操作频繁但数据量不大的情况下，每个用户占用内存3-5M左右，基于此点，我们给定的PGA的大小为1211M。

此参数在EM中可以很方便的调整。

内存参数，既可以调整SGA和PGA的大小。

如果EM没有启动，只能用命令行修改。

#su – oracle

$SQLplus /nolog

SQL>conn /as sysdba

SQL> alter system set sga_target = ’3648M’  scope = spfile

SQL> alter system set pga_aggregate_target = ’3648M’  scope = spfile

修改processes和sessions的大小。

Processes 对应的是oracle对外的进程数量，比如应用服务器的连接池需要发起350个连接，对应的processes即为350.

Sessions对应的oracle对外的回话数，没有全部启用事务的应用，一次数据库操作即会占用一个sessions。所以sessions需要做适量的调整。

在em中调整如下：

所有初始化参数，即可看到processes和sessions的大小。

如果EM没有启动，只能用命令行修改。

#su – oracle

$SQLplus /nolog

SQL>conn /as sysdba

SQL> alter system set processes = 800  scope = spfile

SQL> alter system set sessions = 880  scope = spfile

修改redo.log

Oracle的数据库日志称为redo log，所有数据改变都记录redo log，可以用于修复受损的数据库。所有的数据改变均需要记录redo.log，所以redo.log的大小，磁盘IO均有一定的讲究。强烈建议把redo.log放置在IO最好的存储中。

在em中，修改如下

重做日志组。即可看到目前的所有redo.log。

可以直接添加。一般情况需要3个512M的redo.log。如果大小不对，可以添加3个512M的redo.log，删除大小不符合要求的redo.log即可。删除之前需让要删除的redo.log处于inactive的状态。

如果EM没有启动，只能用命令行修改。

#su – oracle

$SQLplus /nolog

SQL>conn /as sysdba

SQL> select member from v$logfile;

查看所有的redo.log file。

SQL> alter database add logfile group 4 (' /oracle/oradata/new/redo04.log') size 512m;
添加一个redo.log。

SQL> alter system switch logfile;

切换到下一个redo.log。

SQL>alter database drop logfile group 1;

即可删除上一个使用的redo.log。

数据库监控

   在EM中，有一组每隔一个小时自动抓取一次的快照，可以使用快照分析。如下：

   快照，即可看到最新的快照。

   选中需要查看的报告，点击分析，可以看到一份报告。

   查看SQL ordered by CPU Time 即可看到那些SQL最占用内存。

   一般情况下，可以不用分析快照。

   当CPU的使用达到了一个峰值，在该分析报告中，可以跟踪到对应的SQL。

   如果EM没有启动，只能用命令行去生成报告。

      $cd  ${oracle_home}/rdbms/admin

    $SQLplus /nolog

    SQL>conn /as sysdba

    SQL>@spcreate.SQL

   此命令行会需要输入perfstat的密码，默认密码为perfstat。

       SQL> exec statspack.snap;

   隔几分钟后，具体看压力和数据库的CPU反应。再次执行。

      SQL> exec statspack.snap;

     SQL> @spreport

  需要选择起至的快照。选择ok，需要输入文件名，即可查看文字版本的报告。

  同理，查看SQL ordered by CPU Time 即可看到那些SQL最占用内存。

第一章 全局操作系统内核参数的调整

硬件说明

CPU info:

  4 Intel(R) Itanium 2 processors (1.3 GHz, 3 MB)

          400 MT/s bus, CPU version B1

Memory: 4027 MB (3.93 GB)应用服务器/ 12219 MB (11.93 GB)数据库服务器

Firmware info:

   Firmware revision:  006.044

   FP SWA driver revision: 1.18

   IPMI is supported on this system.

   BMC firmware revision: 8.05

Platform info:

   Model:                  "ia64 hp server rx7620"

   Machine ID number:      5981791c-1f2e-11db-b3ef-e251099a55e7

   Machine serial number:  SGH4626D96

OS info:

   Nodename:  rx7620

   Release:   HP-UX B.11.31

   Version:   U (unlimited-user license)

   Machine:   ia64

   ID Number: 1501657372

   vmunix _release_version:              

@(#) $Revision: vmunix:    B.11.31_LR FLAVOR=perf

调整说明

基于HP-UX的操作系统调优，*NUX系列调整大同小异。本次调整正对应用服务器和数据库服务器，根据并发数，内存分配，场景要求有相关对应。

需调整的内核参数说明

maxdsiz、maxssiz和maxtsiz 这些参数是所有HP-UX 用户进程的三个基本的组成部分（数据、堆栈和文本段） 单位：byte

Maxuprc，单个用户最大并发进程数

max_thread_proc 单个进程最大并发线程数

本次测试，数据库需要接受weblogic的连接池配置100-350的连接。

我们更改以上的参数

# kctune -h maxdsiz=" 4294967296"

# kctune -h Maxuprc ="1024"

# kctune -h max_thread_proc ="2048"

---------------eos for weblogic的默认安装-----------------

访问console，默认的用户名/密码为  system/eosversion

--------------强制杀进程-------------

kill -9 pid

--------------too many open file 文件句柄超出-------------

在使用linux服务器做web应用服务器时，linux默认的对外file连接数量为1024. 也就是说，如果做压力测试的话（偶就是搞这个的），一定需要修改对外的tcp链接数量。

一般这种错误，对应的是日志中的too money open file.

在Linux下，我们使用ulimit -n 命令可以看到单个进程能够打开的最大文件句柄数量(socket连接也算在里面)。系统默认值1024。对于一般的应用来说(象Apache、系统进程)1024完全足够使用。但是如何象squid、mysql、java等单进程处理大量请求的应用来说就有点捉襟见肘了。如果单个进程打开的文件句柄数量超过了系统定义的值，就会提到“too many files open”的错误提示。如何知道当前进程打开了多少个文件句柄呢？下面一段小脚本可以帮你查看：

lsof -n |awk '{print $2}'|sort|uniq -c |sort -nr|more 在系统访问高峰时间以root用户执行上面的脚本，可能出现的结果如下：

# lsof -n|awk '{print $2}'|sort|uniq -c |sort -nr|more

131 24204   
   57 24244   
   57 24231   
   56 24264

其中第一行是打开的文件句柄数量，第二行是进程号。得到进程号后，我们可以通过ps命令得到进程的详细内容。

ps -aef|grep 24204 即可查看对应的进程。

但是如果系统并发特别大，尤其是squid服务器，很有可能会超过1024。这时候就必须要调整系统参数，以适应应用变化。Linux有硬性限制和软性限制。可以通过ulimit来设定这两个参数。方法如下，以root用户运行以下命令：

ulimit -HSn 4096 以上命令中，H指定了硬性大小，S指定了软性大小，n表示设定单个进程最大的打开文件句柄数量。个人觉得最好不要超过4096，毕竟打开的文件句柄数越多响应时间肯定会越慢。设定句柄数量后，系统重启后，又会恢复默认值。如果想永久保存下来，可以修改 /etc/profile 把上面命令加到最后。

当然，也不建议过多，会对资源有所损耗。 由于我是上的300虚拟用户，我直接给当前连接窗口给开到了10240。

----------------------远程连接相关----------------

用 nohup ./startServer.sh启动服务，可以断掉链接，服务存在。

----------------load runner相关设置--------------

巧用参数生成123456000000到123456150000的编号。设定如下：

图中的100对应着我的100 vuser的并发。这样设置的意思，到最后就能100并发，生成123456000000到123456150000并且不重复。

-----------------web service压力测试注意------------------

听GZ说起，一个注意点。

获取连接的时候，应该把获取连接的方法提取到静态方法中，不能每次动态获取连接。

不然压力上去，性能就下来了，做个笔记。

---------------------------------------------------------

破解的8.1，100 vuser，一个controller能管理多个clinent，但是并发用户总数还是不能超过100，还需要手工合并压测数据，真晕。

（二）SQLS如何访问建立了非聚集索引的数据表

（三）SQLS如何访问建立聚集索引的数据表

（四）SQLS如何访问既有聚集索引、又有非聚集索引的数据表

索引的优点和不足

在jsp中，用java调用biz，得到返回的值。

结果头上引入了太多的包，在头上输出了太多的空格。

我想，这些空格是没法去掉的。经验使然。

做了3年的j2ee，在查看源文件的时候，常发现有这个问题。

于是也没有深究，堂而皇之的说不能去掉。

结果是，下班回宾馆之后，一个写.NET的人，给找到了方法。

并且还不只一种！

记录如下：

out.clear();

<?xml version="1.0" encoding="gb2312" standalone="no"?>

呵，看样子基础不扎实的时候，做人一定要诚实。

不会就是不会，别说不能实现，搞得人品好像很不好的样子。

最后拿到的doc就是调用biz bizAlldo.bizAlldoXml返回的值。

我们可以直接java中调用写好的biz。

为例进行说明。

1. 下载 cas-server 和 cas-client( 可选，建议使用）

http://www.ja-sig.org/downloads/cas/cas-server-3.0.5.zip

http://www.ja-sig.org/downloads/cas-clients/cas-client-java-2.1.1.zip

2. 将 cas-server-3.0.5.zip 解压，并将 lib/cas.war 拷贝到 server1 的 webapps 下

3. 产生 SERVER 的证书

PS: 参数与各系统本身一致

%JAVA_HOME%\bin\keytool -delete -alias tomcat -keypass changeit

%JAVA_HOME%\bin\keytool -genkey -alias tomcat -keypass changeit -keyalg RSA

%JAVA_HOME%\bin\keytool -export -alias tomcat -keypass changeit  -file %FILE_NAME%

%JAVA_HOME%\bin\keytool -import -file server.crt -keypass changeit -keystore %JAVA_HOME%/jre/lib/security/cacerts

%JAVA_HOME%\bin\keytool -import -file server.crt -keystore %JAVA_HOME%\jre\lib\security\cacerts

4. 在 server1 配置 tomcat 使用 HTTPS

$CATALINA_HOME/conf/server.xml 里

<Connector className="org.apache.coyote.tomcat5.CoyoteConnector"

port="8443" minProcessors="5" maxProcessors="75"

enableLookups="true" disableUploadTimeout="true"

acceptCount="100" debug="0" scheme="https"

secure="true">

<Factory className="org.apache.coyote.tomcat5.CoyoteServerSocketFactory"

keystoreFile="/path/to/your/keystore-file"

keystorePass="your-password" clientAuth="false" protocol="TLS" />

</Connector>

5. 在要使用 CAS 的客户端 client1 里设置（以 servlets-examples 这个 APP 为例），我们使用

ServletFilter(CAS client 里提供的 ) 来实现 SSO 的检查。

修改 servlets-examples/WEB-INF/web.xml

<filter>

<filter-name>CASFilter</filter-name>

<filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>

<init-param>

<param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>

<param-value>https://your.cas.server.name(eg:server1):port/cas/login</param-value>

</init-param>

<init-param>

<param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>

<param-value>https://your.cas.server.name(eg:server1):port/cas/proxyValidate</param-value>

</init-param>

<init-param>

<param-name>edu.yale.its.tp.cas.client.filter.serviceUrl</param-name>

<param-value>your.client.server.ip(eg:127.0.0.1):port</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>CASFilter</filter-name>

<url-pattern>/servlet/*</url-pattern>

</filter-mapping>

PS: 在 client 端配置 filter 时 , 需要将 CAS 的 filter 放在 web.xml 最上端 ,. 如果在你的 web.xml 有类似 encodingFilter 的 filter 也需要将这个 filter 放在 CAS filter 下面 , 否则你会发现每次访问时都需要你进行验证 。

6. 将 cas-client-java-2.1.1.zip 解压，把 java/lib/casclient.jar 拷贝到 client1 服务器上的

webapps/servlets-examples/WEB-INF/lib 目录下（如果没有就建一个）

7. 导出 SERVER 的证书，用来给所有需要用到的客户端导入

keytool -export -file server.crt -alias my-alias-name -keystore keystore-file

8. 在客户端的 JVM 里导入信任的 SERVER 的证书 ( 根据情况有可能需要管理员权限 )

keytool -import -keystore $JAVA_HOME/jre/lib/security/cacerts -file server.crt -alias my-alias-name

9.test & done.

把 server1 和 client1 分别起来，检查启动的 LOG 是否正常，如果一切 OK ，就访问

http://client1:8080/servlets-examples/servlet/HelloWorldExample

系统会自动跳转到一个验证页面，随便输入一个相同的账号 , 密码，验证通过之后就会访问

到真正的 HelloWorldExample 这个 servlet 了

实现自已的认证代码 (java 代码和相关注释 , 需要 cas-server-3.0.5.jar 包 )

package  com.mcm.sso; 

 

import  org.jasig.cas.authentication.handler.support.AbstractUsernamePasswordAuthenticationHandler; 

import  org.jasig.cas.authentication.principal.UsernamePasswordCredentials; 

import  org.springframework.util.StringUtils; 

 

public   class  MyUsernamePasswordAuthenticationHandler  extends  

              AbstractUsernamePasswordAuthenticationHandler  { 

 

        public   boolean  authenticateUsernamePasswordInternal( 

                      final  UsernamePasswordCredentials credentials)  { 

               final  String username  =  credentials.getUsername(); 

               final  String password  =  credentials.getPassword(); 

              

               //  此处实现你的登陆验证代码 

               if  (StringUtils.hasText(username)  &&  StringUtils.hasText(password) )  { 

                     getLog().debug( 

                                    " User [ "   +  username  +   " ] was successfully authenticated with ucix. " ); 

                      return   true ; 

              }  

 

              getLog().debug( " User [ "   +  username  +   " ] failed authentication " ); 

 

               return   false ; 

       }  

 

        protected   void  afterPropertiesSetInternal()  throws  Exception  { 

               super .afterPropertiesSetInternal(); 

       }  

}  

然后将这个类配置到 deployerConfigContext.xml 文件里 , 替代 <bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />

可能要用到数据库连接之类的配置，具体可参照 spring framework 相关文档

在 client 端取到登陆相关信息及登出系统

1. 取得用用户 ID

以下两种方式都可以

session.getAttribute(CASFilter.CAS_FILTER_USER);

session.getAttribute("edu.yale.its.tp.cas.client.filter.user");

也可以直接取得认证 java 对象

session.getAttribute(CASFilter.CAS_FILTER_RECEIPT);

session.getAttribute("edu.yale.its.tp.cas.client.filter.receipt");

JSP2.0 标准写法

<c:out value="${sessionScope['edu.yale.its.tp.cas.client.filter.user']}"/>

在 jsp 中使用 CAS Tag Library 标签

除实现以上功能完还可以实现登出之类的相关功能，具体参照 cas 官方文档

http://www.ja-sig.org/products/cas/client/jsp/index.html

的 SSO(single sign-on) 的服务(主要是2.0，到3.0为ja-sig)。

关键字

TGC(ticket-granting cookie)--------- 受权的票据证明

KDC( Key Distribution Center ) ---------- 密钥发放中心

Service ticket(ST) --------- 服务票据， 由 KDC 的 TGS 发放。 任何一台 Workstation 都需要拥有一张有效的 Service Ticket 才能访问域内部的应用 (Applications) 。 如果能正确接收 Service Ticket ，说明在 CASClient-CASServer 之间的信任关系已经被正确建立起来 , 通常为一张数字加密的证书

Ticket Granting tieckt(TGT) --------- 票据授权票据，由 KDC 的 AS 发放。即获取这样一张票据后，以后申请各种其他服务票据 (ST) 便不必再向 KDC 提交身份认证信息 ( 准确术语是 Credentials) 。

authentication service (AS) --------- 认证用服务，索取 Crendential ，发放 TGT

ticket-granting service (TGS) --------- 票据授权服务，索取 TGT ，发放 ST

CAS 单点服务器的认证过程，所有应用服务器收到应用请求后，检查 ST 和 TGT ，如果没有或不对，转到 CAS 认证服务器登陆页面，通过安全认证后得到 ST 和 TGT 再重定向到相关应用服务器，在会话生命周期之内如果再定向到别的应用，将出示

ST 和 TGT 进行认证 , 注意 , 取得 TGT 的过程是通过 SSL 安全协议的 ( 换句话说就是如果不用 ssl 协议 , 每访问一个应用服务，就得重新到认证服务中心认证一次 ) ，关于 SSL 的相关描述可以查看附录 .

白话描述 :

单点登陆 , 无非就是提供给用户一次登陆 , 多个系统共享用户信息的操作 .

这个是怎么操作的呢 ? 有简单的方法 , 当用户访问其他系统的时候 , 写个 URL 带上用户的 ID 和 PASS 提交到相应的系统就可以了 . 这也是一种方法

那 CAS 是怎么操作的呢 ? 或则是 KRB(Kerberos 是一个加密认证协议，允许网络用户不使用明文密码访问服务，一个普通
的协议实现包括 LOGIN 服务存在伪造欺骗对 Key Distribution Center 的响应 。

) 怎么操作的呢 ?

他并不是很复杂 , 他先是建立一个 专门认证用户的 服务 (SERVER) 这个服务只做一件事 , 负责验证用户的 ID 和 PASS 是否是正确 , 在正确的情况提供用户一个名为 TGT 的票据 ,

相当你要去游乐场玩 , 首先你要在门口检查你的身份 ( 即 CHECK 你的 ID 和 PASS), 如果你通过验证 , 游乐场的门卫 (AS) 即提供给你一张门卡 (TGT).

这张卡片的用处就是告诉 游乐场的各个场所 , 你是通过正门进来 , 而不是后门偷爬进来的 , 并且也是获取进入场所一把钥匙 .

好的 , 现在你有张卡 , 但是这对你来不重要 , 因为你来游乐场不是为了拿这张卡的 , 好的 , 我们向你的目的出发 , 恩 , 你来到一个摩天楼 , 你想进入玩玩 ,

这时摩天轮的服务员 (client) 拦下你 , 向你要求摩天轮的 (ST) 票据 , 你说你只有一个门卡 (TGT), 好的 , 那你只要把 TGT 放在一旁的票据授权机 (TGS) 上刷一下 ,

票据授权机 (TGS) 就根据你现在所在的摩天轮 , 给你一张摩天轮的票据 (ST), 哈 , 你有摩天轮的票据 , 现在你可以畅通无阻的进入摩天轮里游玩了 .

当然如果你玩完摩天轮后 , 想去游乐园的咖啡厅休息下 , 那你一样只要带着那张门卡 (TGT). 到相应的咖啡厅的票据授权机 (TGS) 刷一下 , 得到咖啡厅的票据 (ST) 就可以进入咖啡厅

当你离开游乐场后 , 想用这张 TGT 去刷打的回家的费用 , 呵呵 , 对不起 , 你的 TGT 已经过期了 , 在你离开游乐场那刻开始 , 你的 TGT 就已经销毁了 ~

Yale CAS Server 的配置过程

CAS (Central Authentication Service) 是 Yale 大学的 ITS 开发的一套 JAVA 实现的开源

的 SSO(single sign-on) 的服务。该服务是以一个 java web app(eg:cas.war) 来进行服务的，

使用时需要将 cas.war 发布到一个 servlet2.3 兼容的服务器上，并且服务器需要支持 SSL ，

在需要使用该服务的其他服务器（客户），只要进行简单的配置就可以实现 SSO 了。

CAS 的客户端可以有很多种，因为验证的结果是以 XML 的格式返回的， CAS 的客户端已

打包进去的有 java,perl,python,asp,apache module 等好几种客户端示例，你还可以根据

需要实现一个自己的客户端，非常简单 !~

答：请修改对应web-inf下面的ibm-web-ext.xmi 里面的内容，请将autoRequestEncoding="true" autoResponseEncoding="true"中的true改成false，就ok了。

继续问：为什么我改了，还不ok？

继续答：因为websphere的同步机制，在profiles下面对应的config里面，还有一个命名一摸一样的文件，ibm-web-ext.xmi ，请修改其中的相同的地方的内容。

原理猜想：websphere解析的时候，不是类似于tomcat直接解析web目录下面web-inf里面的配置文件，而是解析config里面的web-inf里面的配置文件，中间的同步的机制就不得而知，据我所知，bea的weblogic的同步是根据时间戳的，但是IBM的貌似不跟时间戳打交道，保险起见，还是手工copy的比较好。

同理，添加servlet也一样，需要手工发布2个地方的web.xml.

websphere是一个很严格的J2EE容器，它会严格的检查web.xml里面的配置，还有jsp的页面的java的写法，很多tomcat或者jboss不抛出的错误，在websphere下面都能立显无疑。

eos的应用中，往往会用到hiddensubmit.js的这个文件，也就是说，会用到隐含提交这玩意，如果不修改上面提到的ibm-web-ext.xmi，一定会出现乱码，并且是提交到pr，数据总线中就乱掉。：）

似乎应该考虑，把eos的平台升级成utf-8。

加班到11点，做个记号先！

只是需要fso，怎么才能不用fso呢？