CAS委托认证（PAC4J OIDC）完成认证后无法跳转至SP资源，提示应用未授权

看起来你在CAS 6.6.7版本的委托认证流程里卡到最后一步了，我帮你结合日志和配置梳理下核心问题和解决方向：

核心问题定位 #

从日志里能看到两个关键异常点：

1. 找不到注册服务：Resolved registered service from request can not be located，这直接对应了CAS提示的“应用未授权”，说明CAS完成OIDC认证后，无法识别原来的SAML客户端（SP）。
2. TransientSessionTicket丢失：Ticket [TST-xxx] could not be found，CAS会把认证前的SP请求信息存在临时票据（TST）里，回调时需要用这个票据恢复上下文，找不到它就没法关联到原来的SP。

具体解决步骤 #

1. 先修复SAML服务注册的匹配问题

你的SAML注册服务里serviceId设为了"Example1"，这大概率是匹配规则不对：

• CAS的serviceId需要和SP发起请求时的service参数值或SP的**实体ID（entityID）**匹配，不能随便写个名称。
• 打开你的example1_metadata.xml，找到<md:EntityDescriptor entityID="xxx">里的entityID值，把它替换到注册服务的serviceId字段里；或者直接用SP请求CAS时的完整service URL（比如https://your-sp-url/saml/SSO），如果是多个URL可以用正则表达式匹配（比如^https://your-sp-url/.*$）。
• 保存配置后重启CAS，测试是否能正确识别SP服务。

2. 修复TransientSessionTicket丢失的问题

日志里显示CAS生成了会话Cookie，但回调时找不到对应的TST，可能是这些原因：

• 会话Cookie未正确传递：在OIDC IDP回调到CAS的请求里，检查浏览器是否携带了DISSESSION Cookie（用浏览器开发者工具看网络请求的Cookie头）。如果没携带，可能是SameSite属性的问题，确认CAS配置里cas.web.session.cookie.same-site= None（因为跨域回调需要），并且你的CAS是HTTPS环境（日志里是localhost:8447，应该满足）。
• 临时票据超时：CAS默认的临时票据超时是5分钟，如果你的OIDC认证流程耗时较长，可能提前过期了。可以在配置里延长超时时间：

  cas.ticket.transient.timeout=PT10M
  

• Ticket Registry配置问题：如果是单节点部署，默认的内存Ticket Registry没问题；如果是多节点，必须用分布式Ticket Registry（比如Redis、JDBC），否则TST只存在单个节点，回调到其他节点就会找不到。

3. 检查OIDC客户端的回调配置

确认你在OIDC IDP那边配置的回调URL是https://your-cas-server/cas/login?client_name=oidcFederation，这个URL必须和CAS里配置的client-name（oidcFederation）完全对应，不然CAS没法识别是哪个委托客户端的回调。

测试建议 #

先修改SAML服务的serviceId，这是最可能直接解决“应用未授权”提示的点；如果还是有问题，再排查会话和票据的存储问题。可以打开CAS的DEBUG日志，关注org.apereo.cas.services和org.apereo.cas.ticket包的日志，看服务匹配和票据存储的详细过程。

备注：内容来源于stack exchange，提问作者med_alpa