CAS v4.0与Spring无状态会话集成问题求助及资源咨询

这问题我之前帮团队排查过类似的，CAS v4.0确实没明说“无状态模式”，但不是必须放弃无状态切回传统Session的，给你几个实际可行的思路：

• 利用CAS的REST API实现无状态客户端
  CAS v4.0本身提供了REST接口，你可以让客户端完全绕开传统的Session依赖：

  1. 客户端引导用户到CAS登录，登录成功后拿到Ticket Granting Ticket (TGT)（CAS会把TGT存在Cookie里，你也可以把它提取出来存在客户端的安全存储里，比如加密的LocalStorage或者自定义Header）
  2. 每次需要访问你的Spring应用时，先调用CAS的REST接口用TGT换取Service Ticket (ST)
  3. 把ST放在请求的ticket参数或者自定义Header里传给你的应用
  4. 你的Spring应用用CAS客户端验证ST的有效性，验证通过后就可以完成授权，整个过程你的应用不需要维护任何HttpSession，完全无状态
     注意：TGT是敏感信息，一定要加密存储，别明文存在客户端。

• CAS + JWT混合方案（不用完全舍弃JWT）
  其实不用直接抛弃JWT，你可以把CAS作为身份认证的入口，JWT作为后续资源访问的凭证：

  1. 用户通过CAS完成SSO登录后，你的应用（或者专门的授权服务）根据CAS返回的用户信息签发JWT
  2. 客户端存储JWT，之后所有请求都带上JWT
  3. 你的Spring应用配置JWT认证过滤器，直接解析JWT完成授权，不用每次去CAS验证
     这种方式下，CAS只负责首次的身份验证，后续的无状态访问靠JWT维持，既保留了SSO的能力，又满足了无状态的需求。

• 自定义Spring Security会话策略适配CAS
  你之前设置SessionCreationPolicy.STATELESS导致CAS失效，是因为默认的CAS客户端依赖HttpSession来存储认证信息。你可以自定义SessionAuthenticationStrategy来绕过这个限制：

  1. 实现SessionAuthenticationStrategy接口，在认证成功（CAS验证通过后）的逻辑里，生成包含用户信息的JWT，把JWT返回给客户端
  2. 配置Spring Security的会话策略为STATELESS，同时添加JWT认证过滤器，让后续请求通过解析JWT来获取认证信息
  3. 调整CAS客户端的配置，让它不依赖HttpSession存储认证状态，而是把认证结果交给自定义的策略处理
     这种方式相当于把CAS的认证结果转换成无状态的JWT凭证，完美适配你的无状态需求。

另外要注意，CAS v4.0的REST API需要在CAS服务端开启相关配置，你可以在CAS的cas.properties里启用cas.rest.enabled=true。还有所有敏感凭证（TGT、JWT）的传输一定要用HTTPS，防止被截获。

内容的提问来源于stack exchange，提问作者R. G