Spring CAS服务REST直登问题：携带ticket仍被重定向至登录页

我来帮你梳理下这个问题——你遇到的核心痛点是：已经通过CAS REST接口拿到了有效的服务票据（ST），但带ST调用Spring Web应用的API时，还是被重定向到CAS登录页。这大概率是因为你的Spring CAS客户端没有正确处理和验证这个ST，下面给你分步骤排查和解决：

1. 先确认Spring CAS客户端的核心配置是否到位 #

Spring Security CAS客户端（spring-security-cas）默认是支持解析ticket参数的，但需要确保你的配置里正确启用了相关过滤器，并且服务地址完全匹配：

关键配置点 #

• ServiceProperties必须和获取ST时的service参数完全一致：
  你获取ST时用的是service=https://serviceHost/web/，那客户端配置里的service属性也得是这个地址（如果API路径是/web/api/getAuftraege，可以把service设为https://serviceHost/web/api/getAuftraege，或者更宽泛的https://serviceHost/web/**，具体看你的需求）。
• 确保CAS过滤器能拦截到你的API请求：
  举个Spring Boot Security配置的示例：

  @Configuration
  @EnableWebSecurity
  public class CasSecurityConfig {
  
      @Bean
      public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
          http
              .authorizeHttpRequests(auth -> auth
                  .requestMatchers("/web/api/**").authenticated()
              )
              .cas(cas -> cas
                  .loginPage("https://cas/cas/login")
                  .serviceProperties(serviceProperties())
                  .authenticationProvider(casAuthenticationProvider())
                  .filter(casAuthenticationFilter())
              );
          return http.build();
      }
  
      @Bean
      public ServiceProperties serviceProperties() {
          ServiceProperties props = new ServiceProperties();
          // 这里的地址要和获取ST时传入的service完全一致
          props.setService("https://serviceHost/web/");
          props.setSendRenew(false);
          return props;
      }
  
      @Bean
      public CasAuthenticationProvider casAuthenticationProvider() {
          CasAuthenticationProvider provider = new CasAuthenticationProvider();
          provider.setServiceProperties(serviceProperties());
          provider.setTicketValidator(cas20ServiceTicketValidator());
          provider.setUserDetailsService(userDetailsService());
          provider.setKey("casAuthenticationProviderKey");
          return provider;
      }
  
      @Bean
      public TicketValidator cas20ServiceTicketValidator() {
          return new Cas20ServiceTicketValidator("https://cas/cas");
      }
  
      @Bean
      public UserDetailsService userDetailsService() {
          // 这里可以根据实际情况实现，比如从数据库获取用户信息
          return username -> new User(username, "", AuthorityUtils.createAuthorityList("ROLE_USER"));
      }
  }
  

2. 检查是否缺少必要的依赖 #

如果是Spring Boot项目，确保已经引入了Spring Security和CAS客户端的依赖：

Maven依赖 #

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-cas</artifactId>
</dependency>

Gradle依赖 #

implementation 'org.springframework.boot:spring-boot-starter-security'
implementation 'org.springframework.security:spring-security-cas'

这些依赖包含了处理CAS票据解析、验证的核心类（比如CasAuthenticationFilter、TicketValidator），缺了的话客户端根本没法处理ST。

3. 开启日志排查验证流程 #

开启Spring Security的DEBUG日志，能帮你看清请求处理的细节：
在application.properties里添加：

logging.level.org.springframework.security=DEBUG

然后观察日志：

• 如果看不到“Validating ticket ST-xxx”相关的日志，说明CasAuthenticationFilter没拦截到你的API请求，要检查过滤器的路径匹配规则；
• 如果有验证失败的日志，那大概率是service地址不匹配、ST已过期，或者CAS服务端返回了验证失败的响应。

4. 针对API场景调整失败处理逻辑 #

因为你是调用API而非Web页面，默认的CAS过滤器在验证失败时会重定向到登录页，这对API请求不友好。可以自定义失败处理器，返回401状态码：

@Bean
public CasAuthenticationFilter casAuthenticationFilter(AuthenticationManager authenticationManager) throws Exception {
    CasAuthenticationFilter filter = new CasAuthenticationFilter();
    filter.setAuthenticationManager(authenticationManager);
    // 自定义失败处理：返回401而不是重定向
    filter.setAuthenticationFailureHandler((request, response, exception) -> {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.getWriter().write("Invalid or missing CAS ticket");
    });
    return filter;
}

5. 确认CAS服务端的REST配置有效性 #

虽然你能拿到TGT和ST，但还是要确认CAS服务端的REST模块是否正确启用，并且生成的ST是有效的。可以查看CAS服务端的日志，确认当你用ST调用客户端API时，服务端返回了成功的验证响应。

内容的提问来源于stack exchange，提问作者YingYang