CAS客户端票据验证失败：未找到匹配CAS URL的主体备用DNS名称

这个错误本质上是Java客户端在验证CAS服务器的SSL证书时，发现证书的Subject Alternative Name（SAN）字段没有包含你访问CAS服务器所用的域名/IP——从Java 7开始，HTTPS连接默认会严格校验SAN，不再仅仅依赖证书的Common Name（CN）字段，所以哪怕CN是对的，SAN不匹配也会触发这个报错。

下面是一步步的解决方案：

1. 先确认证书的SAN配置是否正确 #

首先你需要检查CAS服务器的SSL证书是否包含了正确的SAN：

• 用keytool命令查看证书详情：

  keytool -printcert -file /path/to/your/cas/certificate.crt
  

• 在输出里找Subject Alternative Names部分，看看里面有没有你客户端配置的CAS服务器域名（比如cas.yourdomain.com），如果是用IP访问CAS的话，也要确认IP是否在SAN列表里。

2. 重新生成包含正确SAN的证书（生产环境必做） #

如果证书确实缺少对应的SAN，你需要重新生成证书：

• 如果你用keytool生成自签名证书，生成时要添加SAN扩展：

  keytool -genkeypair -alias cas -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore cas.jks -validity 3650 -ext SAN=DNS:cas.yourdomain.com,DNS:cas-backup.yourdomain.com,IP:192.168.1.100
  

• 如果是向CA申请的证书，需要在生成CSR（证书签名请求）时指定SAN字段，具体操作可以参考你使用的CA的文档。

3. 检查客户端CAS配置的一致性 #

• 确保客户端配置的CAS服务器URL和证书SAN里的域名完全一致：比如客户端配置的是https://cas.yourdomain.com/cas，那SAN里必须有cas.yourdomain.com，不能用IP或者未在SAN里的别名。
• 同时确认客户端的JVM信任库已经导入了CAS服务器的根证书，避免出现证书不被信任的额外问题（虽然这个报错不是信任问题，但也要确保这一步没问题）。

4. 测试环境临时绕过（生产绝对禁止） #

如果你只是在测试环境快速验证功能，可以临时关闭主机名验证，但生产环境绝对不能这么做：

• 添加JVM启动参数：

  -Djdk.tls.disableSNIExtension=true -Djavax.net.ssl.hostnameVerifier=com.sun.net.ssl.internal.www.protocol.https.DefaultHostnameVerifier
  

• 或者在客户端代码里自定义HostnameVerifier（同样不推荐生产）：

  HttpsURLConnection.setDefaultHostnameVerifier((hostname, session) -> hostname.equals("cas.yourdomain.com"));
  

总结一下：这个问题的核心是SSL证书的SAN配置不匹配，生产环境一定要通过正确配置证书来解决，不要依赖绕过验证的方式。

内容的提问来源于stack exchange，提问作者Araf