Spring Boot 整合 Spring Security + CAS 實現單點登入 (SSO) 完整配置指南

前言

CAS (Central Authentication Service) 是企業級單點登入標準協議。Spring Boot 整合 Spring Security CAS 模組，可快速實現應用接入 CAS Server 的認證、登出、代理票據驗證。本文提供基於 Spring Boot 2.x/3.x 的完整配置類、屬性綁定、自定義 UserDetailsService、權限映射全流程。

架構流程

1. 用戶訪問受保護資源 → Spring Security 攔截 → 重定向至 CAS Server /login?service=...。
2. 用戶在 CAS 登入成功 → CAS 重定向回應用 /login?ticket=ST-xxx。
3. Spring Security CasAuthenticationFilter 攔截 Ticket → CasAuthenticationProvider 驗證 Ticket (調用 CAS /p3/serviceValidate) → 獲取用戶屬性 → 載入本地權限 → 建立 Authentication。
4. 單點登出：應用 /logout → CAS /logout → 通知所有應用銷毀 Session (SingleSignOutFilter)。

1. Maven 依賴

cas:
  server:
    url: https://sso.example.com:8443/cas
    login-url: ${cas.server.url}/login
    logout-url: ${cas.server.url}/logout?service=${app.url}
  client:
    service-url: https://app.example.com:8080
    login-url: /login/cas
    logout-url: /logout/cas

app:
  url: https://app.example.com:8080

3. 屬性配置類

4. 核心 Security 配置類

5. 自定義 UserDetailsService：Ticket 驗證後載入權限
 roles = (List) attrs.get("roles"); // 如 ["USER","ADMIN"]

        // 實際應查詢本地 DB 同步/補全用戶信息
        UserDetails user = User.builder()
            .username(username)
            .password("") // CAS 免密，密碼無意義
            .authorities(roles.stream().map(SimpleGrantedAuthority::new).collect(Collectors.toList()))
            .build();
        return user;
    }
}


6. Spring Boot 3.x / Spring Security 6 寫法差異
 logout.permitAll())
        .exceptionHandling(ex -> ex.authenticationEntryPoint(casAuthenticationEntryPoint()))
        .addFilter(casAuthenticationFilter())
        .addFilterBefore(singleSignOutFilter(), CasAuthenticationFilter.class)
        .addFilterBefore(casLogoutFilter(), LogoutFilter.class)
        .csrf(csrf -> csrf.disable())
        .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED));
    return http.build();
}


7. CAS Server 端配置要點 (應用註冊)

    
在 CAS Server 註冊服務 (Service Definition)：serviceId = https://app.example.com:8080/**。
    
配置屬性釋放策略：返回 principal (用戶名)、email、roles 等屬性。
    
啟用單點登出回調：CAS 需向每個應用發送 SAML 登出請求 (/samlLogout)，應用端 SingleSignOutFilter 處理。


常見問題排查
總結
Spring Boot 整合 CAS 核心在於：**ServiceProperties 定義服務身份、CasAuthenticationFilter 攔截 Ticket、CasAuthenticationProvider 驗證 Ticket 並委託 AuthenticationUserDetailsService 載入權限、SingleSignOutFilter 處理單點登出**。配置雖多但邏輯清晰，掌握各 Bean 職責與 CAS 協議交互流程，可快速定位 SSO 接入問題。生產環境建議補全：HTTPS 雙向信任、集群 Session 共享、CAS 代理票據授權、登出回調可靠性保障。
 
 

							
上一篇文章： Java 生產者-消費者模式完整實現：wait/notify、阻塞隊列、虛假喚醒處理 
下一篇文章： Kotlin 語法入門：變數宣告、擴充函數與 Parcelable 序列化完整指南 
						

					

						Java 相關知識
						

					
					

						
						

							
							基於 OAuth 1.0 協議的 Java 應用開發：整合 Google Data API 完整實作
							
OAuth 核心價值

  安全：Consumer 無需接觸			
						
						
						

							
							Ruby on Rails 開發實戰（Windows 環境）第 6 篇：美化後台商品列表頁面
							
本篇針對 Scaffold 產生的預設列表頁面進行美化，運用			
						
						
						

							
							Java 入門第一課：HelloWorld 程序結構解剖、main 方法規範與常見編譯運行錯誤全景圖
							
HelloWorld 是每個 Java 開發者的起點。看似簡			
						
						
						

							
							深度探索 Eclipse 3.1 新特性：效能躍升、J2SE 5.0 全面支援與開發體驗革新
							
前言：里程碑版本的綻放
2005 年 6 月，歷經一年開發，			
						
						
						

					
				

				
				
 
	
				

					

						

					
					

						
						使用 JFreeChart 在 Web 應用中生成統計圖表完整指南
						
						Java 動態代理實戰：JDK Proxy 與 InvocationHandler 核心機制深度解析
						
						Jikes 編譯器加入 Encoding 支援：Windows 平台原始碼編譯完整指南
						
						Java 面向對象思維重塑：從過程式邏輯到業務建模的認知轉型指南
						
						Eclipse Ganymede eRCP 實戰：將 RCP 桌面應用移植至移動設備的完整指南
						
						Eclipse 開發效率倍增器：熱鍵、密技與外掛全攻略
						
						Java 開發精通七步法：從動手實踐到自我信念
						
					
				
			
				

					
欄目導航
					

						
Java 程式設計入門
Java 相關知識
J2EE
J2SE
J2ME
Java 綜合教學
					
					
				
			
Copyright © 程式碼之家 All Rights Reserved   

    
現象
原因/解決
    
Ticket 驗證失敗: "Ticket not recognized"
Service URL 不匹配 (含/不含尾斜線、HTTP/HTTPS、端口)。確保 serviceProperties.setService 與 CAS 註冊的 serviceId 完全一致。
    
無限重定向登入頁
Ticket 驗證成功但 AuthenticationUserDetailsService 拋異常/返回 null，導致 Security 認為未認證。檢查日誌、斷點調試。
    
單點登出不生效
1) CAS Server 未配置該應用的登出回調 URL。2) 應用缺少 SingleSignOutFilter 或順序錯誤。3) 會話追蹤依賴 sessionMappingStorage (預設內存)，集群需共享存儲 (Redis/JDBC)。
    
HTTPS 憑證信任
應用調用 CAS /p3/serviceValidate 需信任 CAS 憑證。將 CA 導入 JDK cacerts 或配置 Cas20ServiceTicketValidator.setTrustStore。