CAS SSO 无法登出的一种原因

CAS SSO 无法登出的一种原因

---

背景

1 我们公司基于CAS SSO 4.x 二次开发了公司内部的SSO服务。
2 SSO上线后发生了一个很奇怪的问题：受SSO保护的应用无法使用SSO登出：单击登出按钮，关闭浏览器均不能登出。但是在本地开发测试的时候部分应用能够登出，部分不能登出。
3 我司内部的生产网络部署拓补图以及测试服务器拓补图如下：

尝试解决

第一次尝试

首先了解cas sso protocol，spring-webflow 终于看懂了大致流程。在google的时候，在官方文档中发现了：
官方文档filter的使用

       Order of Required Filters
        How to configure the filters is described on the pages above. This section details the order in which the filters should appear:
        1 SingleLogOutFilter (if you're using it)
        2 AuthenticationFilter
        3 TicketValidationFilter (whichever one is chosen)
        4 HttpServletRequestWrapperFilter
        5 AssertionThreadLocalFilter

按照文档中的介绍，将所有相关的filter放在web.xml的最前面，所有的应用都可以在本地登出了。

所以无法登出的一个可能原因就是web.xml没有配置好。
但是上线测试后任然无法登出！只能继续尝试。。。

第二次尝试

由于生产服务器是单独部署，并且使用apache来反向代理。于是，我就在本地安装配置了apache来模拟生产环境。但是本地环境可以登出，这就说明了不是apache反向代理的问题。

第三次尝试

查找原因过程

看了几天文档、代码继续查找原因。
将测试服务器和本地服务器logger输出的level调整为debug，对比两个loger文件，发现测试服务器的log总是少输出几句关于通知cas client登出的日志。这就发现了问题的可能原因：测试服务器没有
通知cas client登出。

以下是正常的退出log

-------------------------logout-----------
[2017-02-17 11:01:43.512] [DEBUG] [web-container-thread-10] [org.jasig.cas.CentralAuthenticationServiceImpl] - Removing ticket [TGT-1-j0dF1y3EBzGLK1YducqU7eoEwmyZDcdrZcurxR0o2REXPc3g5b-localhost] from registry.
[2017-02-17 11:01:43.513] [DEBUG] [web-container-thread-10] [org.jasig.cas.ticket.registry.DefaultTicketRegistry] - Attempting to retrieve ticket [TGT-1-j0dF1y3EBzGLK1YducqU7eoEwmyZDcdrZcurxR0o2REXPc3g5b-localhost]
[2017-02-17 11:01:43.515] [DEBUG] [web-container-thread-10] [org.jasig.cas.ticket.registry.DefaultTicketRegistry] - Ticket [TGT-1-j0dF1y3EBzGLK1YducqU7eoEwmyZDcdrZcurxR0o2REXPc3g5b-localhost] found in registry.
[2017-02-17 11:01:43.516] [DEBUG] [web-container-thread-10] [org.jasig.cas.CentralAuthent