单点登录-CAS协议

功能说明

当目标应用支持 CAS 客户端接入时，数犀集成平台可在单个应用的 CAS 配置页提供登录、退出和票据校验地址，并配置重定向 URI 与用户属性映射。

本文只描述当前页面能够确认的 CAS 能力，不把代理认证、多租户、所有认证方式或完整单点注销写成默认交付能力。

前置条件

已创建目标应用，且当前应用的单点登录页面展示 CAS。

已确认目标应用支持的 CAS 版本和 Service URL。

已明确目标应用使用的用户名及其他属性。

已准备隔离测试账号。

CAS 页面提供 Login、Logout、CAS 2.2/3.0 校验地址及属性映射；租户地址已脱敏

当前页面地址

CAS 配置页提供只读的：

Logout URL。

CAS 2.2 serviceValidate 地址。

CAS 3.0 p3/serviceValidate 地址。

同时可配置重定向 URI 和用户属性映射。所有地址必须取自当前租户、当前应用页面，不能复用其他应用或环境的 URL。

配置流程

确认 CAS 版本

确认目标应用使用当前页面提供的 CAS 2.2 或 CAS 3.0 校验方式，并记录其 Service URL。

登记平台地址

在目标应用中填写当前应用页面生成的 Login URL 和对应版本的票据校验地址。

配置重定向 URI

在平台应用中登记目标应用允许的回调或 Service 地址，确保双方值完全一致。

配置用户属性

设置目标应用用于账号匹配的用户属性，并只增加业务确实需要的其他属性。

保存并验证

使用测试账号发起登录，检查 Ticket 被成功校验、账号匹配正确，并验证重复使用 Ticket、无权限账号和错误 Service。

退出边界

页面提供 Logout URL，但该地址不能自动证明目标应用本地 Cookie、其他应用会话或所有票据都会级联清理。

退出后至少分别检查：

平台会话是否结束。

目标应用本地会话是否结束。

原 Service Ticket 是否不能重复使用。

再次访问目标应用是否重新触发认证。

验证与排错

现象	检查项
循环重定向	核对 Service、回调地址、Cookie 和双方登录状态
Ticket 校验失败	核对 CAS 版本、校验地址、Service 是否与签发时一致
登录到错误账号	核对用户属性映射和目标应用唯一标识
缺少用户属性	核对 CAS 版本、属性名称和值来源
退出后仍保持登录	分别检查平台 Logout URL 和目标应用本地会话清理

验证清单

使用当前租户、当前应用生成的地址。

CAS 版本与目标应用一致。

Service 和重定向 URI 在两端一致。

Ticket 成功校验且不能重复使用。

用户属性映射到正确账号。

文档未承诺当前页面不能证明的代理认证、级联登出或其他高级能力。

当前页面参考

从应用管理进入目标应用的 CAS 单点配置。

功能说明#

前置条件#

当前页面地址#

配置流程#

退出边界#

验证与排错#

验证清单#

当前页面参考#