CAS 6.5.9票据验证通过但响应中无PGT问题咨询

• 检查服务定义的代理权限配置
  确保目标服务的proxyPolicy未设置为None，需配置为允许代理的规则。比如服务JSON配置示例：

  {
    "@class": "org.apereo.cas.services.RegexRegisteredService",
    "serviceId": "^https://your-service-domain.*",
    "name": "Your Business Service",
    "id": 1000,
    "proxyPolicy": {
      "@class": "org.apereo.cas.services.RegexMatchingRegisteredServiceProxyPolicy",
      "pattern": "^https://.*"
    }
  }
  

• 确认请求参数完整性
  调用/p3/serviceValidate时，必须携带pgtUrl参数（即使业务不支持回调，也需传入一个符合URL格式的占位值，CAS需要该参数触发PGT生成逻辑）；同时确保renew参数未设为true，该参数会阻断PGT生成流程。

• 验证公钥配置有效性

  • 检查服务定义中的publicKey配置，确保公钥路径正确、格式为标准PEM（包含-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----标识）：

    "publicKey": {
      "@class": "org.apereo.cas.services.RegisteredServicePublicKeyImpl",
      "location": "file:/etc/cas/services/public.key",
      "algorithm": "RSA"
    }
    

  • 确认CAS服务器进程对该公钥文件有读取权限，避免因权限问题导致公钥加载失败。

• 通过日志定位问题
  开启CAS的DEBUG级日志，重点查看ProxyGrantingTicketController、ServiceValidateController相关日志，排查是否存在公钥验证失败、权限拦截、PGT生成异常等报错信息。

• 检查全局代理配置
  确认CAS核心配置中cas.tgc.proxy.crypto.enabled=true已启用，且相关加密密钥配置未被注释或配置错误。

内容的提问来源于stack exchange，提问作者tfrancois