CAS不用SSL(既用http协议,不用https)不能实现跨域的原因是CAS的TGC(TicketGrantingCookie)生成时设置了安全属性为只能被https协议访问,http协议访问不到。
解决方法其实很简单,只要把TGC的安全属性去掉,让它可以被http协议访问就可以了。
具体来说:修改cas\WEB-INF\spring-configuration\ticketGrantingTicketCookieGenerator.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:p="http://www.springframework.org/schema/p"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd">
<bean id="ticketGrantingTicketCookieGenerator" class="org.jasig.cas.web.support.CookieRetrievingCookieGenerator"
p:cookieSecure="false"
p:cookieMaxAge="-1"
p:cookieName="CASTGC"
p:cookiePath="/cas" />
</beans>
原来红字的地方为true,现在改为false就可以了。
具体这样改动是什么意思,相信大家如果对cookie机制有一定了解的话就会明白了。这里: JSP中的COOKIE操作 有对COOKIE的简单介绍。
使用CAS是为了实现单点登陆功能,就是网上很流行的通行证系统。由于CAS是通行证系统的服务端,涉及到敏感的用户帐户信息,于是我们一般用SSL来保证其通信的安全。SSL可以对通信的内容进行加密,防止通信内容被截取后泄露用户帐户信息。所以说在真正应用中SSL对于CAS还是比较必要的一个配置,不推荐大家放弃用SSL。