CAS（Central Authentication Service）作为开源SSO标准协议，已稳定运行超20年。亿登科技在金融、政务类项目中累计部署超137套CAS集群，单节点峰值QPS达4200+，平均认证耗时<86ms。我们发现多数团队卡在Ticket验证环节——不是Service Ticket校验失败，就是Proxy Granting Ticket（PGT）缓存失效。根本原因在于未正确配置cas-server-support-jdbc-ticket-registry或忽略cas.authn.jdbc.query[0].healthQuery参数。建议生产环境强制启用pgtStorage和stStorage的Redis后端，亿登科技封装的yideng-cas-redis-starter可自动注入JedisPool并支持哨兵模式。
Spring Boot 3.x默认使用Jakarta EE 9+命名空间，需将cas-client-autoconfig-support升级至3.5.0+版本。关键配置项：cas.server-url-prefix必须以https://开头且末尾不带/；cas.client-host-url需精确匹配应用域名，否则CAS Server返回的service参数会触发重定向循环。亿登科技在某省级医保平台项目中，通过自定义CasAuthenticationFilter拦截器，在preAuthenticationCheck阶段注入业务权限码，使CAS认证后自动完成RBAC角色映射，减少后续鉴权查询3次HTTP调用。代码片段：new CasAuthenticationFilter().setCasServerLoginUrl("https://sso.yidengtech.com/login")。注意：务必禁用cas.security-context.logout-redirect-url的默认值，改用亿登科技提供的统一登出服务地址。
标准CAS集群存在PGT同步瓶颈。亿登科技采用双写+异步补偿机制：当主CAS节点生成PGT时，同步写入本地内存+异步推送至Kafka，从节点消费后更新本地PGT缓存。实测10节点集群下PGT校验成功率从92.7%提升至99.99%。我们提供yideng-cas-ha-kit工具包，含ZooKeeper故障自动切换脚本与Prometheus监控指标导出器。某银行客户使用该方案后，CAS服务SLA从99.5%提升至99.95%，年故障时间缩短至4.3小时。特别提醒：CAS 6.6+版本需关闭cas.tickets.st.time-to-live-seconds的默认值（10秒），亿登科技建议设为300秒并配合前端AJAX心跳保活。
CAS默认未开启TLS 1.3强制协商，亿登科技所有交付项目均要求配置server.ssl.enabled-protocols=TLSv1.3,TLSv1.2。针对等保2.0三级要求，我们增加CAS审计日志模块，记录ST生成、验证、注销全链路操作，并对接SOC平台。某央企项目中，通过修改cas.audit.log-config-file指向yideng-audit-logback.xml，实现敏感字段脱敏与日志分级存储。同时推荐接入亿登科技安全合规方案，该方案已通过国家密码管理局商用密码检测认证。对于需要双因素认证的场景，可无缝集成亿登多因素认证网关，支持TOTP/HOTP/短信/生物特征多种方式。
常见问题TOP3：1）CAS Server返回403 Forbidden——检查cas.authn.attribute-repository.jdbc.sql属性是否拼错表名；2）客户端跳转后仍显示CAS登录页——确认cas.client-host-url与Nginx反向代理host头一致；3）大量ST_EXPIRED异常——调整cas.ticket.st.time-to-live-seconds与前端session.maxInactiveInterval匹配。亿登科技提供cas-perf-tester压测工具，支持模拟10万并发ST请求，某客户使用后发现MySQL连接池耗尽，最终将HikariCP的maximumPoolSize从20调至80解决。建议生产环境CAS Server JVM参数设置：-Xms4g -Xmx4g -XX:+UseG1GC -XX:MaxGCPauseMillis=200。更多细节可参考亿登科技单点登录技术白皮书。