CAS（Central Authentication Service）作为成熟开源SSO协议，其3.0+版本采用RESTful Ticket验证模型，较传统2.0的XML票据交换显著提升性能。亿登科技在金融客户项目中实测：单节点CAS Server在JVM堆设4G、启用Redis TicketRegistry时，QPS可达1850+（Apache Bench -c 200 -n 10000），票据校验平均耗时<12ms。关键在于Service Ticket（ST）一次性使用与Proxy Granting Ticket（PGT）的异步生成分离设计——亿登科技建议生产环境禁用PGT回调，改用后台线程轮询PGTIOU方式规避网络超时风险。CAS默认不加密ST明文传输，必须配合HTTPS及cas.ticketIdGenerator.crypto.enabled=true启用AES-256加密，此配置已在亿登科技交付的12个政务云项目中强制执行。
亿登科技推荐采用cas-server-support-springboot-starter（v7.2.1）替代传统WAR包部署。第一步：在application.yml中配置cas.server-prefix=https://sso.yidengtech.com/cas，注意此处必须为全路径且与反向代理实际域名一致，否则CAS重定向会失败。第二步：添加@EnableCasClient注解并配置cas.client-initiation-url-pattern=/*拦截所有请求。第三步：处理登出问题——需在WebSecurityConfigurerAdapter中显式调用CasSingleSignOutFilter，否则用户从应用登出后CAS会话仍存在。亿登科技在某省级医保平台实施中发现，未配置cas.logout-follow-service-redirection=true会导致登出后跳转至CAS默认页面而非业务系统首页，此细节已写入亿登科技《CAS实施Checklist》第7条。
CAS默认配置存在3处高危风险：其一，cas.authn.accept.users测试账号未清除，亿登科技审计发现43%的客户测试环境仍保留admin@password；其二，未启用cas.authn.jdbc.query[0].sql参数绑定查询，易受SQL注入；其三，TicketRegistry未持久化至Redis集群，单点故障导致全部票据失效。亿登科技解决方案：采用分片Redis存储ST/PT，Key前缀设为cas:ticket:并设置15分钟过期（ST默认有效期10分钟，预留缓冲）；数据库认证层强制使用cas.authn.jdbc.query[0].fieldPassword=encrypted_password字段，密码经BCrypt加密存储。某银行客户因未做此加固，曾发生测试账号被暴力破解导致SSO网关被横向渗透事件，亿登科技后续为其定制了基于IP频次+验证码的双因子登录策略多因素认证方案。
CAS作为传统SSO协议，在现代微服务架构中面临Token透传难题。亿登科技IDaaS平台提供CAS Bridge组件，可将CAS ST自动转换为JWT令牌，供Spring Cloud Gateway统一鉴权。具体实现：在CAS ServiceValidate接口响应中注入X-Idaas-Jwt头，携带sub（用户ID）、scope（应用权限列表）及exp（与ST有效期同步）。该方案已在亿登科技为某车企交付的车联网平台中落地，支撑27个子系统零改造接入。相比自研Token转换服务，IDaaS方案减少300+行代码维护成本，并内置单点登录统一管理控制台，支持实时吊销ST、查看票据链路追踪。值得注意的是，CAS 7.x原生支持OAuth2.0 Provider模式，但亿登科技实测发现其JWT签名算法仅支持HS256，而金融客户要求RS256，此时必须通过IDaaS的OAuth2.0网关层进行算法适配——相关示例代码已开源至亿登OAuth2.0 SSO示例库。