Alfresco CAS SSO登录异常：URL堆叠大量票据致401未授权错误

我之前在类似的环境里碰到过一模一样的问题，结合你的场景（Alfresco 5.2 + Keycloak 4.0 + mod_auth_cas + Apache反向代理），给你梳理下问题根因和具体解决方案：

一、CAS票据堆叠导致401未授权的问题 #

这个问题本质是CAS认证流程中出现了循环重定向，每次重定向都会追加新的ticket参数，最终URL里堆叠过多票据导致Alfresco无法正常解析认证信息。你可以从这几个方向排查修复：

1. 对齐Apache与Alfresco的CAS服务URL配置 #

这是最常见的原因——Keycloak收到的服务请求URL和Alfresco配置的cas.service不匹配，导致每次验证都认为是新的服务请求，重复返回ticket。

• Apache mod_auth_cas配置：确保CASValidateURL和代理回调URL指向正确的Keycloak CAS端点，同时设置好认证头传递：

  # 启用mod_auth_cas
  LoadModule auth_cas_module modules/mod_auth_cas.so
  
  CASValidateURL https://your-keycloak-domain/auth/realms/your-realm/protocol/cas/v1/ticketValidate
  CASProxyCallbackURL https://your-alfresco-domain/cas/proxyCallback
  CASAuthNHeader X-Remote-User  # 把认证后的用户名传递给Alfresco
  CASSession On
  

• Alfresco全局配置（alfresco-global.properties）：cas.service必须和Alfresco对外暴露的完整URL完全一致，包括HTTPS、域名和路径：

  authentication.chain=cas1:cas,alfrescoNtlm1:alfrescoNtlm
  cas.login.url=https://your-keycloak-domain/auth/realms/your-realm/protocol/cas/v1/login
  cas.service=https://your-alfresco-domain/alfresco  # 必须和Apache代理后的URL完全匹配
  cas.validate.url=https://your-keycloak-domain/auth/realms/your-realm/protocol/cas/v1/ticketValidate
  cas.proxy.callback.url=https://your-alfresco-domain/cas/proxyCallback
  cas.send.ticket=true
  

2. 排查Apache反向代理的重定向规则 #

因为Alfresco和Keycloak都在Apache反向代理后，要避免额外的重定向干扰CAS流程：

• 确保强制HTTPS的规则不会在CAS认证过程中反复跳转，比如可以给CAS相关路径添加例外：

  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteCond %{REQUEST_URI} !^/auth/realms/your-realm/protocol/cas/
  RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L]
  

• 用CASIgnorePath排除Alfresco的静态资源、公共路径，减少不必要的CAS认证触发：

  CASIgnorePath ^/alfresco/resources/
  CASIgnorePath ^/share/res/
  

3. 检查Keycloak的CAS客户端配置 #

在Keycloak后台的CAS客户端设置里：

• 确认Service Validator的匹配规则设置正确，不要用过于宽泛的正则（比如.*），尽量精确匹配Alfresco的服务URL；
• 确保Proxy Callback URLs已添加Alfresco的代理回调地址（https://your-alfresco-domain/cas/proxyCallback）；
• 关闭不必要的CAS协议特性，比如如果不需要代理功能，可以禁用Proxy模式。

二、WQS连接仓库未授权的警告 #

这个警告来自Alfresco的Web Quick Start（WQS）组件，它默认尝试用guest用户连接仓库，但CAS认证开启后guest访问可能被限制。解决办法分两种：

1. 禁用WQS（如果不需要该功能） #

直接在alfresco-global.properties里添加配置关闭WQS：

wqs.enabled=false

2. 配置WQS使用合法认证 #

如果需要保留WQS，给它配置有权限的账号：

• 编辑wqs-client.properties文件，添加认证凭证：

  wqs.repository.username=your-wqs-user
  wqs.repository.password=your-wqs-password
  

  注意：不要明文存储密码，可以用Alfresco的加密工具对密码加密后再配置。

验证修复 #

先重启Apache和Alfresco，尝试登录：

1. 访问Alfresco后应该正常跳转到Keycloak登录页；
2. 登录后重定向回Alfresco，URL里只会带一个ticket参数，且能正常进入资源管理器；
3. 查看Alfresco启动日志，WQS的警告会消失（或不再出现未授权的请求）。

内容的提问来源于stack exchange，提问作者ojathelonius