cms以前用的是email认证，用户自己填个人信息。过程繁琐，信息不准，相当折腾。偶然获知信息处正在做统一认证平台（CAS），就联系了一下，他们也正希望能有其它IT系统融入，所以一拍即合，相当融洽。

Moodle本身就有CAS认证插件，认证后从LDAP获取用户信息。配置起来并不复杂。两个比较好的参考：http://docs.moodle.org/en/admin/auth/ldap，https://mediawiki.middlebury.edu/wiki/LIS/CASifying_Moodle。

比较复杂的是和旧账号的兼容。如果能有明确的旧账号和CAS账号的对应关系，那么只要修改Moodle的user表，把username改成cas的用户名，auth改成cas就行。一个脚本，甚至几条sql语句就能搞定。

可惜我们没有这样的对应关系，必须让用户自己设定账号绑定，所以有了这个项目：https://github.com/hit-moodle/bind_cas_users。它先引导用户在CAS登录，然后让用户输入旧用户名和密码，验证通过，用户确认后，修改user表，使username为CAS用户名，auth为cas，这样用户以后直接从CAS登录就能完全继承旧账号的一切了。

这里有个难点，就是假如旧用户名是user1，CAS用户名是user2，而Moodle还有一个用户名是user2的用户。如果user1在user2之前做绑定，那么无法修改username。

解决方法是把所有旧用户名统一加上后缀“.local”（先要确认没有用户已经用过这个后缀），本地验证时自动在用户输入的用户名后加上“.local”。这样改username就不会发生冲突。下面这条SQL语句就是做这个的

提前若干天发出账号切换通知，让大家先去CAS激活账号，同时在小范围测试账号绑定程序。

在直接用cas登录时，假如moodle中并没有该用户的记录，会直接创建一个新用户。这导致，如果一个cas登录了的用户，没有去做账号绑定，直接点击了cms的任意要求登录的页面，那么他就在cms中有了一个和cas对应的新账号，而旧账号无法和新账号绑定了。这个问题的解决靠下面这个补丁：

挑一个夜黑风高的晚上，关站完成以上过程。大家一觉醒来，就都必须都用CAS登录了。

Moodle的cas登录插件还兼容其它登录方式。在其配置中设置好后，在登录界面会显示两个选择：CAS登录、其它登录。因为cms还有很多校外用户，以及cas中还没有考虑校园访客的情况，所以我们保留了原有的email认证（用户名加了后缀）。CAS登录会先判断用户是否已经在cas中登录了。如果是，就直接以其身份登录；如果否，才显示选择登录方式的界面。

另外，auth/cas/cas_ldap_sync_users.php是需要放在cron中的脚本，但没有转换完所有账号前千万不要运行。它会直接在moodle创建ldap中的所有用户，而不会进行任何账号关联操作。一旦运行，再想让用户能继承旧数据就比较麻烦了。