如何在CAS 6.x及以上Overlay项目中配置自定义控制器与暴露端点？

CAS 7.x相对于5.x在架构和Overlay机制上有重大调整，直接沿用旧版本的Controller配置和Security自定义方式会触发认证/权限拒绝错误，以下是适配7.x的正确配置方式：

1. 配置无需认证的公开端点 #

CAS 7.x通过配置参数直接定义无需认证的路径白名单，无需自定义Security配置。在src/main/resources/application.properties（或yaml）中添加：

# 配置公开API路径，支持Ant风格匹配
cas.security.web.ignore-patterns[0]=/api/public/**

该配置会让CAS的安全过滤器跳过匹配的路径，直接允许访问。

2. 配置需要认证的受保护端点 #

对于需要认证的API，利用CAS原生的方法级安全机制，无需自定义SecurityConfig：

• 首先开启方法级安全支持：

cas.security.method.enabled=true

• 然后在Controller方法上添加@PreAuthorize注解控制访问权限：

@RestController
@RequestMapping("/api/secure")
public class SecureApiController {

    // 仅允许已认证用户访问
    @GetMapping("/user-data")
    @PreAuthorize("isAuthenticated()")
    public Map<String, Object> getUserData() {
        return Map.of("status", "success", "data", "Authenticated user content");
    }

    // 仅允许拥有ADMIN角色的用户访问
    @GetMapping("/admin-data")
    @PreAuthorize("hasRole('ADMIN')")
    public Map<String, Object> getAdminData() {
        return Map.of("status", "success", "data", "Admin-only content");
    }
}

3. 解决权限拒绝（permissiondenied）问题 #

如果触发screen.error.page.permissiondenied，需确保用户属性中包含对应的角色信息：

• 在配置文件中映射用户角色属性：

# 从用户认证属性中提取roles字段作为角色源
cas.authorization.attributes.role=roles

• 确保CAS认证源（比如LDAP、数据库）已正确释放roles属性到CAS会话中。

4. 避免自定义Spring SecurityConfiguration冲突 #

CAS 7.x的安全机制基于Spring Boot自动配置，自定义@EnableWebSecurity的配置类会覆盖CAS原生的安全过滤链，导致认证逻辑混乱。禁止编写自定义的Spring SecurityConfiguration类，所有安全规则通过CAS的配置参数和注解实现。

5. 测试验证 #

• 公开端点：直接访问/api/public/xxx，应正常返回内容，不会跳转至CAS登录页。
• 受保护端点：未登录时访问会跳转至CAS登录界面，登录后返回对应内容；无权限用户访问会返回权限拒绝错误。

内容的提问来源于stack exchange，提问作者pratyush singh