web 浏览器、CAS 服务器和 Spring Security 安全服务之间的基本交互如下：

你还在这里真是太好了！现在让我们看看这是如何配置的

本节介绍如何设置 Spring Security 来验证服务票据。通常情况下，这都是 web 应用程序需要的。你需要在应用程序上下文中添加 ServiceProperties bean。这代表你的 CAS 服务：

<bean id="serviceProperties"
	class="org.springframework.security.cas.ServiceProperties">
<property name="service"
	value="https://localhost:8443/cas-sample/login/cas"/>
<property name="sendRenew" value="false"/>
</bean>

service 必须等于一个 URL，该 URL 将由 CasAuthenticationFilter 监视。sendRenew 默认为 false，但如果应用程序特别敏感，则应该设置为 true。此参数所做的是告诉 CAS 登录服务，单点登录登录是不可接受的。相反，用户需要重新输入用户名和密码以获得对服务的访问。

应该配置以下 bean 以开始 CAS 认证过程（假设你正在使用命名空间配置）：

<security:http entry-point-ref="casEntryPoint">
...
<security:custom-filter position="CAS_FILTER" ref="casFilter" />
</security:http>

<bean id="casFilter"
	class="org.springframework.security.cas.web.CasAuthenticationFilter">
<property name="authenticationManager" ref="authenticationManager"/>
</bean>

<bean id="casEntryPoint"
	class="org.springframework.security.cas.web.CasAuthenticationEntryPoint">
<property name="loginUrl" value="https://localhost:9443/cas/login"/>
<property name="serviceProperties" ref="serviceProperties"/>
</bean>

为了操作 CAS，ExceptionTranslationFilter 必须将其 authenticationEntryPoint 属性设置为 CasAuthenticationEntryPoint bean。这可以很容易地使用 entry-point-ref，如上面的例子所做的那样。CasAuthenticationEntryPoint 必须引用 ServiceProperties bean（上面讨论过），该 bean 为企业的 CAS 登录服务器提供 URL。这是用户浏览器将被重定向的地方。

CasAuthenticationFilter 与 UsernamePasswordAuthenticationFilter（用于基于表单的登录）具有非常相似的属性。你可以使用这些属性定制诸如认证成功和失败的行为。

接下来需要添加一个 CasAuthenticationProvider 及其合作者：

<security:authentication-manager alias="authenticationManager">
<security:authentication-provider ref="casAuthenticationProvider" />
</security:authentication-manager>

<bean id="casAuthenticationProvider"
	class="org.springframework.security.cas.authentication.CasAuthenticationProvider">
<property name="authenticationUserDetailsService">
	<bean class="org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper">
	<constructor-arg ref="userService" />
	</bean>
</property>
<property name="serviceProperties" ref="serviceProperties" />
<property name="ticketValidator">
	<bean class="org.jasig.cas.client.validation.Cas20ServiceTicketValidator">
	<constructor-arg index="0" value="https://localhost:9443/cas" />
	</bean>
</property>
<property name="key" value="an_id_for_this_auth_provider_only"/>
</bean>

<security:user-service id="userService">
<!-- Password is prefixed with {noop} to indicate to DelegatingPasswordEncoder that
NoOpPasswordEncoder should be used.
This is not safe for production, but makes reading
in samples easier.
Normally passwords should be hashed using BCrypt -->
<security:user name="joe" password="{noop}joe" authorities="ROLE_USER" />
...
</security:user-service>

CasAuthenticationProvider 使用 UserDetailsService 实例为用户加载权限，只要用户已经通过 CAS 身份验证。我们在这里展示了一个简单的内存设置。注意，CasAuthenticationProvider 并不实际使用密码进行身份验证，但它确实使用了权限。

如果你参考 CAS 如何工作 部分，bean 是合理的自我解释的。

这就完成了 CAS 最基本的配置。如果你没有犯任何错误，你的 web 应用程序应该在 CAS 单点登录的框架内愉快地工作。 Spring Security 的其他部分不必关心事实上 CAS 处理的身份验证。在下面的部分中，我们将讨论一些（可选的）更高级的配置。

CAS 协议支持单点注销，并且可以很容易地添加到 Spring Security 配置中。下面是处理单点注销的 Spring Security 配置的更新

<security:http entry-point-ref="casEntryPoint">
...
<security:logout logout-success-url="/cas-logout.jsp"/>
<security:custom-filter ref="requestSingleLogoutFilter" before="LOGOUT_FILTER"/>
<security:custom-filter ref="singleLogoutFilter" before="CAS_FILTER"/>
</security:http>

<!-- This filter handles a Single Logout Request from the CAS Server -->
<bean id="singleLogoutFilter" class="org.jasig.cas.client.session.SingleSignOutFilter"/>

<!-- This filter redirects to the CAS Server to signal Single Logout should be performed -->
<bean id="requestSingleLogoutFilter"
	class="org.springframework.security.web.authentication.logout.LogoutFilter">
<constructor-arg value="https://localhost:9443/cas/logout"/>
<constructor-arg>
	<bean class=
		"org.springframework.security.web.authentication.logout.SecurityContextLogoutHandler"/>
</constructor-arg>
<property name="filterProcessesUrl" value="/logout/cas"/>
</bean>

logout 元素将用户从本地应用程序中注销，但不终止与 CAS 服务器或任何其他已登录的应用程序的会话。requestSingleLogoutFilter 过滤器将允许请求 /spring_security_cas_logout 的 URL 将应用程序重定向到配置的 CAS 服务器注销 URL。然后 CAS 服务器将向登录的所有服务发送一个注销请求。singleLogoutFilter 通过在静态 Map 中查找 HttpSession 来处理单个注销请求，然后将其无效。

可能需要混淆 logout 元素和 singleLogoutFilter 两者。首先在本地注销被认为是最佳实践，因为 SingleSignOutFilter 只是将 HttpSession 存储在静态 Map 中，以便在其上调用无效。通过上面的配置，注销的流程将是：

下一步是将以下内容添加到 web.xml 中

<filter>
<filter-name>characterEncodingFilter</filter-name>
<filter-class>
	org.springframework.web.filter.CharacterEncodingFilter
</filter-class>
<init-param>
	<param-name>encoding</param-name>
	<param-value>UTF-8</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>characterEncodingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<listener>
<listener-class>
	org.jasig.cas.client.session.SingleSignOutHttpSessionListener
</listener-class>
</listener>

当使用 SingleSignOutFilter 时，你可能会遇到一些编码问题。因此，建议添加 CharacterEncodingFilter，以确保在使用 SingleSignOutFilter 时字符编码是正确的。再次，请参阅 JASIG 的文档以获取详细信息。SingleSignOutHttpSessionListener 确保当 HttpSession 到期时，用于单当注销的映射将被删除。

本节描述如何使用 CAS 对服务进行认证。换句话说，本节讨论如何设置使用与 CAS 进行认证的服务的客户端。下一节描述了如何使用 CAS 来设置无状态服务来进行认证。

<!--
NOTE: In a real application you should not use an in memory implementation.
You will also want to ensure to clean up expired tickets by calling
ProxyGrantingTicketStorage.cleanup()
-->
<bean id="pgtStorage" class="org.jasig.cas.client.proxy.ProxyGrantingTicketStorageImpl"/>

<bean id="casAuthenticationProvider"
	class="org.springframework.security.cas.authentication.CasAuthenticationProvider">
...
<property name="ticketValidator">
	<bean class="org.jasig.cas.client.validation.Cas20ProxyTicketValidator">
	<constructor-arg value="https://localhost:9443/cas"/>
		<property name="proxyCallbackUrl"
		value="https://localhost:8443/cas-sample/login/cas/proxyreceptor"/>
	<property name="proxyGrantingTicketStorage" ref="pgtStorage"/>
	</bean>
</property>
</bean>

<bean id="casFilter"
		class="org.springframework.security.cas.web.CasAuthenticationFilter">
	...
	<property name="proxyGrantingTicketStorage" ref="pgtStorage"/>
	<property name="proxyReceptorUrl" value="/login/cas/proxyreceptor"/>
</bean>

protected void doGet(HttpServletRequest request, HttpServletResponse response)
	throws ServletException, IOException {
// NOTE: The CasAuthenticationToken can also be obtained using
// SecurityContextHolder.getContext().getAuthentication()
final CasAuthenticationToken token = (CasAuthenticationToken) request.getUserPrincipal();
// proxyTicket could be reused to make calls to the CAS service even if the
// target url differs
final String proxyTicket = token.getAssertion().getPrincipal().getProxyTicketFor(targetUrl);

// Make a remote call using the proxy ticket
final String serviceUrl = targetUrl+"?ticket="+URLEncoder.encode(proxyTicket, "UTF-8");
String proxyResponse = CommonUtils.getResponseFromServer(serviceUrl, "UTF-8");
...
}

CasAuthenticationProvider 区分有状态的和无状态的客户端。状态客户端被认为是提交给 CasAuthenticationFilter 的 filterProcessUrl 的任何客户端。无状态客户机是指在除了 filterProcessUrl 之外的 URL 上向 CasAuthenticationFilter 呈现认证请求的客户机。

因为远程协议无法在 HttpSession 的上下文中呈现自己，所以不可能依赖于在请求之间的会话中存储安全上下文的默认实践。此外，因为 CAS 服务器在票据被 TicketValidator 验证之后使票据无效，所以在随后的请求上呈现相同的代理票据将不起作用。

一个明显的选择是根本不使用 CAS 来远程处理协议客户端。然而，这将消除 CAS 的许多理想特征。作为中间层，CasAuthenticationProvider 使用 StatelessTicketCache 缓存。这仅用于无状态客户机，它使用的主体等于 CasAuthenticationFilter.CAS_STATELESS_IDENTIFIER。接下来， CasAuthenticationProvider 将把得到的 CasAuthenticationToken 存储在 StatelessTicketCache 中，并在代理票据上键入。因此，远程协议客户端可以呈现相同的代理票据，CasAuthenticationProvider 不需要联系 CAS 服务器进行验证（除了第一个请求）。一旦经过认证，代理票据就可以用于除了原始目标服务之外的 URL。

本节基于前面的章节来容纳代理票据验证。第一步是指定对所有工件进行认证，如下所示。

<bean id="serviceProperties"
	class="org.springframework.security.cas.ServiceProperties">
...
<property name="authenticateAllArtifacts" value="true"/>
</bean>

下一步是指定 CasAuthenticationFilter 的 serviceProperties 和 authenticationDetailsSource。serviceProperties 属性指示 CasAuthenticationFilter 尝试对所有工件进行认证，而不是仅对 filterProcessUrl 上存在的工件进行认证。ServiceAuthenticationDetailsSource 创建一个 ServiceAuthenticationDetails，它确保在验证票据时使用基于 HttpServletRequest 的当前 URL 作为服务 URL。可以通过注入返回自定义 ServiceAuthenticationDetails 的自定义 AuthenticationDetailsSource 来定制生成服务 URL 的方法。

<bean id="casFilter"
	class="org.springframework.security.cas.web.CasAuthenticationFilter">
...
<property name="serviceProperties" ref="serviceProperties"/>
<property name="authenticationDetailsSource">
	<bean class=
	"org.springframework.security.cas.web.authentication.ServiceAuthenticationDetailsSource">
	<constructor-arg ref="serviceProperties"/>
	</bean>
</property>
</bean>

你还需要更新 CasAuthenticationProvider 来处理代理票据。为此，用 Cas20ProxyTicketValidator 替换 Cas20ServiceTicketValidator。你需要配置 statelessTicketCache 和你希望接受的代理。你可以找到一个更新的例子来接受下面的所有代理。

<bean id="casAuthenticationProvider"
	class="org.springframework.security.cas.authentication.CasAuthenticationProvider">
...
<property name="ticketValidator">
	<bean class="org.jasig.cas.client.validation.Cas20ProxyTicketValidator">
	<constructor-arg value="https://localhost:9443/cas"/>
	<property name="acceptAnyProxy" value="true"/>
	</bean>
</property>
<property name="statelessTicketCache">
	<bean class="org.springframework.security.cas.authentication.EhCacheBasedTicketCache">
	<property name="cache">
		<bean class="net.sf.ehcache.Cache"
			init-method="initialise" destroy-method="dispose">
		<constructor-arg value="casTickets"/>
		<constructor-arg value="50"/>
		<constructor-arg value="true"/>
		<constructor-arg value="false"/>
		<constructor-arg value="3600"/>
		<constructor-arg value="900"/>
		</bean>
	</property>
	</bean>
</property>
</bean>