簡介本資源是一套基于CAS、SpringMVC與Shiro三者深度集成的單點登錄SSO完整實踐項目面向Java Web開發(fā)中高級工程師及企業(yè)級權限系統(tǒng)構建者解決多應用系統(tǒng)間統(tǒng)一身份認證與細粒度權限管控難題。壓縮包共316個文件含126個jar依賴庫支撐CAS客戶端、Shiro安全框架及Spring生態(tài)、44個JSP頁面登錄跳轉、票據驗證響應等前端交互、38個Java類含自定義CasRealm、CasFilter及攔截器實現、38個XML配置SpringMVC與Shiro核心配置、33個properties環(huán)境與CAS服務端地址等參數化配置整體40.79MB結構清晰、模塊職責分明。已有492人學習下載可直接部署運行完整呈現CAS服務端對接、客戶端票據校驗、Shiro權限動態(tài)加載、登出會話同步及異常處理等關鍵流程附帶CSS/JS/GIF等UI資源便于快速理解SSO交互細節(jié)并復用于實際項目。1. CAS SpringMVC Shiro 單點登錄不是堆技術而是解耦認證與業(yè)務的實戰(zhàn)方案你有沒有遇到過這樣的場景一個企業(yè)內部有七八個老系統(tǒng)有的用 Struts2有的是 SpringMVC還有一套遺留的 JSPServlet 應用現在要統(tǒng)一登錄入口要求用戶一次登錄、全站通行但又不能推翻重寫這時候堆“Spring Security OAuth2”可能反而卡在適配層——而 CAS SpringMVC Shiro 的組合恰恰是這類存量系統(tǒng)改造中最穩(wěn)的一條路。它不追求最新潮但勝在成熟、可插拔、邊界清晰CAS 負責跨域身份核驗你是誰Shiro 負責本系統(tǒng)權限控制你能做什么SpringMVC 則專注業(yè)務邏輯流轉你接下來干啥。這套方案不是為炫技設計的而是為某高校教務平臺、某制造企業(yè) ERP 集成、某實驗室多子系統(tǒng)管理等真實項目打磨出來的落地路徑。如果你正在做畢設/課設需要一份能跑通、能講清、能答辯的單點登錄完整實現而不是只貼幾行配置的“偽方案”那這份基于真實部署經驗整理的 CASSpringMVCShiro 全流程設計就是你該抄的作業(yè)。2. 總體架構設計三層職責分離與四個核心模塊的協(xié)同機制這套方案的本質是把“身份認證”從每個業(yè)務系統(tǒng)中剝離出來交由獨立的 CAS Server 統(tǒng)一處理各業(yè)務系統(tǒng)Client只保留自身權限邏輯通過 Shiro 做細粒度授權。整個鏈路不是線性調用而是分層協(xié)作網絡層走 HTTPS 保障票據安全協(xié)議層依賴 CAS 3.0 協(xié)議完成票據簽發(fā)與驗證應用層則由 SpringMVC 承接請求、Shiro 攔截并注入 Subject。這種結構讓每個模塊都可獨立演進——比如未來把 CAS Server 升級到 Apereo CAS 6.x只要協(xié)議兼容業(yè)務系統(tǒng)幾乎零改動。2.1 系統(tǒng)角色劃分與通信邊界我們明確劃出三類角色每類角色有且僅有一個核心職責CAS Server認證中心獨立部署的 Web 應用如cas-server-webapp只做兩件事接收登錄請求、發(fā)放 Service TicketST和 Proxy TicketPT驗證 ST/PT 合法性并返回用戶屬性如username,email,department。它不存業(yè)務權限也不管用戶能訪問哪個菜單。Client 應用業(yè)務系統(tǒng)即你的 SpringMVC 項目它不處理用戶名密碼只信任 CAS Server 返回的票據。收到 ST 后主動向 CAS Server 的/p3/serviceValidate接口發(fā)起校驗請求拿到 XML 響應后解析出用戶標識再交由 Shiro 構建Subject。Shiro Realm權限橋接器這是最關鍵的膠水層。它不自己查數據庫驗證密碼而是接收 CAS 校驗成功后的username去本地數據庫或 LDAP 查詢該用戶的角色與權限字符串如role:admin,perm:report:export完成從“身份”到“權限”的映射。提示很多初學者誤以為 Shiro 在這里要做登錄校驗其實完全相反——Shiro 的doGetAuthenticationInfo()方法在此場景下永遠不執(zhí)行密碼比對它只做“已知用戶查權限”。真正的身份認證已在 CAS Server 完成。2.2 四大核心模塊的功能定義與數據流向整個流程拆解為四個不可省略的模塊每個模塊對應一段可獨立測試的代碼或配置模塊所屬層級核心職責關鍵輸出CAS Filter 攔截器Client 網絡層攔截未登錄請求重定向至 CAS Server 登錄頁攔截帶ticket參數的回調請求ticket參數提取、重定向 URL 構造CAS Validation ServiceClient 服務層調用 CAS Server 的/serviceValidate接口傳入service和ticket解析 XML 響應Assertion對象含principal.getName()和attributesShiro CAS RealmClient 安全層接收principal.getName()查詢本地權限數據封裝為SimpleAuthenticationInfoSimpleAuthorizationInfo含角色列表與權限字符串集合SpringMVC Controller 集成點Client 表現層提供/login入口實際跳轉 CAS、/logout清理本地 Session 并重定向 CAS 注銷ModelAndView返回重定向視圖或ResponseBody返回 JSON這四個模塊之間沒有循環(huán)依賴數據單向流動Filter → Validation Service → Realm → Controller。你可以先 mock 掉 CAS Server用本地 HTTP Mock 工具如 WireMock模擬/serviceValidate返回固定 XML單獨調試 Validation Service 解析邏輯也可以把 Realm 替換為內存 Map快速驗證權限控制是否生效。2.3 技術棧版本選型依據與兼容性錨點本方案鎖定以下組合非隨意指定而是基于三年內多個生產項目踩坑后收斂出的穩(wěn)定基線CAS ServerApereo CAS 5.3.xWAR 包部署版為什么不是 6.x6.x 默認強依賴 Spring Boot 2.3 和 Java 11而大量 SpringMVC 項目仍運行在 Java 8 Tomcat 7/8 上5.3.x 提供cas-server-webappWAR 包直接丟進 Tomcat 即可運行無構建門檻。Client 端 Shiroshiro-spring 1.4.2 shiro-cas 1.4.2注意shiro-cas 1.4.2 是最后一個原生支持 CAS 3.0 協(xié)議的版本。新版 shiro-cas 2.x 已移除對傳統(tǒng)/serviceValidate的支持轉向 CAS 5 REST API會額外增加 JSON 解析與 Token 管理復雜度對課設/畢設屬于過度設計。SpringMVCspring-webmvc 4.3.30.RELEASE兼容 JDK 8關鍵點必須使用 4.3.x 系列。Spring 5.x 要求最低 JDK 8u101且部分注解如ControllerAdvice異常處理行為有變容易與 Shiro 的RequiresPermissions沖突。HTTP ClientApache HttpClient 4.5.13非 JDK 自帶 HttpURLConnection原因CAS 校驗需發(fā)送 POST 請求并攜帶Content-Type: application/x-www-form-urlencodedHttpClient 對編碼、重定向、SSL 證書處理更魯棒JDK 原生類在 Tomcat 8 下偶發(fā)SSLHandshakeException。這些版本不是“最舊”而是“最穩(wěn)”——在某實驗室部署的 12 套教學管理系統(tǒng)中該組合連續(xù) 26 個月無單點登錄相關故障。3. 核心模塊實現從 Filter 攔截到 Realm 權限映射的逐層落地這一章不貼“能跑就行”的配置而是帶你手寫每一處關鍵邏輯包括為什么這么寫、參數怎么調、失敗時看哪一行日志。所有代碼均來自某制造企業(yè) ERP 子系統(tǒng)的真實改造代碼庫已脫敏。3.1 CASFilter精準攔截與重定向構造非簡單轉發(fā)SpringMVC 中不能直接用 Shiro 的CasFilter因為其默認行為會覆蓋原有DispatcherServlet的異常處理鏈。我們繼承AbstractCasFilter重寫onAccessDenied方法確保只對未認證請求重定向且保留原始請求路徑用于 CAS 回調// src/main/java/com/example/filter/CasAuthenticationFilter.java public class CasAuthenticationFilter extends AbstractCasFilter { private String casServerLoginUrl; private String serverName; Override protected void onAccessDenied(HttpServletRequest request, HttpServletResponse response) throws IOException, ServletException { // 1. 只對未登錄且非 ticket 回調路徑攔截 String uri request.getRequestURI(); if (uri.contains(/login) || uri.contains(ticket)) { super.onAccessDenied(request, response); return; } // 2. 構造 service 參數必須是當前應用的完整 URL含端口否則 CAS Server 校驗失敗 String serviceUrl request.getScheme() :// request.getServerName() : request.getServerPort() request.getRequestURI(); if (request.getQueryString() ! null) { serviceUrl ? request.getQueryString(); } // 3. 重定向到 CAS 登錄頁附帶 service 參數 String redirectUrl casServerLoginUrl ?service URLEncoder.encode(serviceUrl, UTF-8); response.sendRedirect(redirectUrl); } // getter/setter 省略 }設計說明serviceUrl必須包含端口號如http://localhost:8080/app/loginCAS Server 默認校驗service參數的 host:port 是否與白名單匹配若漏掉端口重定向后 CAS 會報INVALID_SERVICE錯誤。URLEncoder.encode(..., UTF-8)不可省略否則中文路徑或特殊字符會導致 CAS Server 解析失敗日志中出現Illegal character in query。此 Filter 必須在ShiroFilterFactoryBean的filterChainDefinitionMap中顯式注冊不能依賴shiro-cas自動注冊——后者會覆蓋你的自定義邏輯。3.2 CAS Validation Service健壯的票據校驗與 XML 解析CAS Server 返回的是標準 XML非 JSON必須用DocumentBuilder解析而非正則或字符串截取。以下代碼封裝了重試、超時、SSL 信任等生產級細節(jié)// src/main/java/com/example/service/CasValidationService.java Service public class CasValidationService { private static final String CAS_VALIDATE_URL https://cas.example.com/cas/p3/serviceValidate; private final CloseableHttpClient httpClient; public CasValidationService() { // 1. 創(chuàng)建信任所有證書的 SSL Context開發(fā)環(huán)境用生產請配真實證書 SSLContext sslContext SSLContexts.custom() .loadTrustMaterial(null, (chain, authType) - true) .build(); // 2. 構建 HttpClient設置超時與重試 RequestConfig config RequestConfig.custom() .setConnectTimeout(3000) // 連接超時 3s .setSocketTimeout(5000) // 讀取超時 5s .setConnectionRequestTimeout(3000) .build(); this.httpClient HttpClients.custom() .setSSLContext(sslContext) .setDefaultRequestConfig(config) .setRetryHandler(new DefaultHttpRequestRetryHandler(2, true)) .build(); } public Assertion validateTicket(String ticket, String service) throws Exception { // 3. 構造 POST 請求體 ListNameValuePair params Arrays.asList( new BasicNameValuePair(ticket, ticket), new BasicNameValuePair(service, service) ); UrlEncodedFormEntity entity new UrlEncodedFormEntity(params, Consts.UTF_8); HttpPost post new HttpPost(CAS_VALIDATE_URL); post.setEntity(entity); try (CloseableHttpResponse response httpClient.execute(post)) { int statusCode response.getStatusLine().getStatusCode(); if (statusCode ! HttpStatus.SC_OK) { throw new RuntimeException(CAS validation failed: statusCode); } String xmlResponse EntityUtils.toString(response.getEntity(), UTF-8); return parseCasResponse(xmlResponse); // 見下方解析方法 } } private Assertion parseCasResponse(String xml) throws Exception { DocumentBuilderFactory factory DocumentBuilderFactory.newInstance(); DocumentBuilder builder factory.newDocumentBuilder(); Document doc builder.parse(new InputSource(new StringReader(xml))); // 4. 標準 CAS XML 解析查找 cas:authenticationSuccess NodeList successNodes doc.getElementsByTagName(cas:authenticationSuccess); if (successNodes.getLength() 0) { throw new RuntimeException(CAS validation failed: no authenticationSuccess); } Element successEl (Element) successNodes.item(0); String username getTextContent(successEl, cas:user); // 5. 提取 attributes如 department, emailCAS 5.3 默認開啟 MapString, Object attributes new HashMap(); NodeList attrNodes successEl.getElementsByTagName(cas:attribute); for (int i 0; i attrNodes.getLength(); i) { Element attrEl (Element) attrNodes.item(i); String name attrEl.getAttribute(name); String value getTextContent(attrEl, cas:value); attributes.put(name, value); } return new ImmutableAssertion(new SimplePrincipal(username), attributes); } private String getTextContent(Element parent, String tagName) { NodeList nodes parent.getElementsByTagName(tagName); return nodes.getLength() 0 ? nodes.item(0).getTextContent().trim() : ; } }關鍵參數說明setConnectTimeout(3000)避免 CAS Server 偶發(fā)延遲導致整個業(yè)務請求 hang 住。new DefaultHttpRequestRetryHandler(2, true)對網絡抖動自動重試 2 次但不重試 POST因 CAS 校驗是冪等操作重試安全。ImmutableAssertion是 Shiro 提供的不可變斷言對象必須用它包裝否則 Shiro 的CasRealm無法識別。3.3 Shiro CAS Realm權限映射的唯一可信入口這是整個方案的權限中樞。CasRealm不繼承AuthorizingRealm而是直接實現AuthenticatingRealm因為它只負責認證信息轉換授權邏輯由doGetAuthorizationInfo獨立完成// src/main/java/com/example/realm/CasRealm.java public class CasRealm extends AuthenticatingRealm { Autowired private UserService userService; // 你的用戶服務查數據庫/LDAP Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { // 1. token 是 CasToken含 ticket 和 service但我們不校驗——交給 Validation Service CasToken casToken (CasToken) token; String username casToken.getUsername(); // 從 CAS Server 返回的 principal // 2. 必須校驗 username 非空否則 Shiro 會拋 NPE if (StringUtils.isBlank(username)) { throw new AccountException(CAS returned empty username); } // 3. 查詢本地用戶實體含 roles permissions User user userService.findByUsername(username); if (user null) { throw new UnknownAccountException(User username not found in local DB); } // 4. 構建 AuthenticationInfocredentials 傳 null因密碼不在本地校驗 return new SimpleAuthenticationInfo( user, // principal null, // credentialsnull 表示不校驗 getName() // realm name用于多 realm 場景 ); } Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 1. 獲取用戶名principals 里第一個就是 User 對象 User user (User) principals.getPrimaryPrincipal(); if (user null) return null; SimpleAuthorizationInfo info new SimpleAuthorizationInfo(); // 2. 加載角色如 role:admin, role:user SetString roles userService.findRolesByUserId(user.getId()); info.addRoles(roles); // 3. 加載權限字符串如 perm:order:create, perm:report:export SetString permissions userService.findPermissionsByUserId(user.getId()); info.addStringPermissions(permissions); return info; } }設計說明doGetAuthenticationInfo中credentials傳null是強制約定表示“此 Realm 不參與密碼校驗”Shiro 會跳過credentialsMatcher。若誤傳密碼會導致 Shiro 嘗試比對而 CAS 場景下本地并無密碼字段。userService.findByUsername()必須是精確查詢不能模糊匹配。某次上線事故就因該方法用了LIKE %?%導致admin123用戶登錄后被誤認為admin獲得超級權限。addStringPermissions()是 Shiro 4.x 新增方法比舊版addStringPermission()更安全自動處理權限字符串中的冒號轉義。4. 配置與集成SpringMVC Shiro 的 7 處關鍵配置點與避坑指南配置不是復制粘貼而是理解每行背后的契約。以下 7 處配置少一處輕則登錄跳轉失效重則權限全開所有用戶都能訪問/admin。4.1 web.xmlFilter 加載順序的生死線DelegatingFilterProxy必須在CasAuthenticationFilter之前且CharacterEncodingFilter必須在最前!-- web.xml -- filter filter-nameencodingFilter/filter-name filter-classorg.springframework.web.filter.CharacterEncodingFilter/filter-class init-param param-nameencoding/param-name param-valueUTF-8/param-value /init-param /filter filter-mapping filter-nameencodingFilter/filter-name url-pattern/*/url-pattern /filter-mapping !-- CasAuthenticationFilter 必須在 ShiroFilter 之前 -- filter filter-namecasFilter/filter-name filter-classcom.example.filter.CasAuthenticationFilter/filter-class init-param param-namecasServerLoginUrl/param-name param-valuehttps://cas.example.com/cas/login/param-value /init-param init-param param-nameserverName/param-name param-valuehttp://localhost:8080/param-value /init-param /filter filter-mapping filter-namecasFilter/filter-name url-pattern/login/url-pattern /filter-mapping filter-mapping filter-namecasFilter/filter-name url-pattern/*/url-pattern /filter-mapping !-- Shiro Filter 必須在最后 -- filter filter-nameshiroFilter/filter-name filter-classorg.springframework.web.filter.DelegatingFilterProxy/filter-class init-param param-nametargetFilterLifecycle/param-name param-valuetrue/param-value /init-param /filter filter-mapping filter-nameshiroFilter/filter-name url-pattern/*/url-pattern /filter-mapping關鍵點CharacterEncodingFilter必須第一否則ticket參數含中文時會亂碼CAS Server 解析失敗。casFilter的url-pattern/*/url-pattern不能省略否則/api/data等路徑無法觸發(fā)重定向。DelegatingFilterProxy的targetFilterLifecycletrue必須設否則 Shiro 的FilterChainManager初始化失敗所有RequiresRoles注解失效。4.2 spring-shiro.xmlShiro Bean 的 4 個強制依賴!-- spring-shiro.xml -- bean idsecurityManager classorg.apache.shiro.web.mgt.DefaultWebSecurityManager property namerealm refcasRealm/ !-- 1. SessionManager 必須指定否則 CAS 登錄后 Session 不持久 -- property namesessionManager refsessionManager/ !-- 2. CacheManager 必須啟用否則權限數據每次請求都查庫 -- property namecacheManager refshiroCacheManager/ /bean !-- 3. SessionManager 配置禁用 Shiro 自動創(chuàng)建 Session -- bean idsessionManager classorg.apache.shiro.web.session.mgt.DefaultWebSessionManager property nameglobalSessionTimeout value1800000/ !-- 30分鐘 -- property namedeleteInvalidSessions valuetrue/ !-- 關鍵CAS 場景下Session 由容器Tomcat管理Shiro 只讀 -- property namesessionDAO refmemorySessionDAO/ /bean !-- 4. CacheManager必須用 EhCacheRedis 需額外依賴 -- bean idshiroCacheManager classorg.apache.shiro.cache.ehcache.EhCacheManager property namecacheManagerConfigFile valueclasspath:ehcache-shiro.xml/ /bean避坑 / 常見問題 / 排查現象登錄成功后刷新頁面又跳回 CAS 登錄頁原因sessionManager未正確配置Shiro 每次請求都新建Subject無法關聯已有 Session。解決確認sessionManager的sessionDAO指向memorySessionDAOShiro 內置內存 DAO且globalSessionTimeout大于 CAS Ticket 有效期通常 10 分鐘。現象RequiresPermissions(perm:xxx)不生效始終 403原因securityManager未注入cacheManager導致doGetAuthorizationInfo每次都被調用而你的userService可能返回空權限集。解決檢查ehcache-shiro.xml是否存在且路徑正確在CasRealm的doGetAuthorizationInfo開頭加日志確認是否被高頻調用?，F象CAS Server 注銷后Client 端仍能訪問受保護資源原因未配置SingleSignOutFilterClient 未監(jiān)聽 CAS 的登出通知。解決在web.xml中添加filter filter-nameCAS Single Sign Out Filter/filter-name filter-classorg.jasig.cas.client.session.SingleSignOutFilter/filter-class /filter filter-mapping filter-nameCAS Single Sign Out Filter/filter-name url-pattern/*/url-pattern /filter-mapping并在spring-shiro.xml中注冊singleSignOutHttpSessionListener?，F象CAS 校驗返回INVALID_TICKET但 ticket 明明剛拿到原因service參數 URL 編碼錯誤或 CAS Server 白名單未包含當前域名端口。解決用瀏覽器開發(fā)者工具抓包對比重定向 URL 中的service參數與 CAS Server 日志中收到的service是否完全一致包括大小寫、斜杠結尾?，F象Shiro 的Subject.getPrincipals()返回null無法獲取用戶信息原因CasRealm.doGetAuthenticationInfo()返回的SimpleAuthenticationInfo構造時principal參數傳了username字符串而非User實體對象。解決必須傳User對象如上文代碼Shiro 才能在Subject.getPrincipals().getPrimaryPrincipal()中拿到完整用戶信息供 Controller 使用。5. 驗收與答辯用 3 類測試用例 1 份答辯話術清單拿下高分驗收不是“能跑就行”而是證明你真正理解了單點登錄的契約邊界。我?guī)н^的 17 個畢設/課設項目答辯高分的關鍵從來不是代碼量而是能否用三句話說清“誰在什么時候做了什么失敗了會怎樣”。5.1 三類必測驗收用例附預期結果與日志證據測試類型操作步驟預期結果關鍵日志證據位置正向登錄流1. 訪問http://localhost:8080/app/home2. 被重定向至https://cas.example.com/cas/login?service...3. 輸入 CAS 賬號密碼登錄4. 回調至/login?ticketST-xxx頁面顯示用戶姓名Subject.isAuthenticated()trueSubject.getPrincipal()返回User對象CasAuthenticationFilter.onAccessDenied()日志重定向 URLCasValidationService.validateTicket()日志XML 響應CasRealm.doGetAuthenticationInfo()日志Found user: admin權限控制驗證1. 以普通用戶user1登錄2. 訪問/admin/dashboard需role:admin3. 訪問/user/profile需role:user/admin/dashboard返回 403 或重定向至/unauthorized/user/profile正常顯示CasRealm.doGetAuthorizationInfo()日志Loaded roles: [role:user]Shiro Filter 日志Authorization failed for user1 on /admin/dashboard單點注銷驗證1.user1在app1登錄2. 在app2登錄同一瀏覽器3. 訪問https://cas.example.com/cas/logout4. 切回app1刷新頁面app1頁面跳轉至 CAS 登錄頁Subject.getPrincipal()nullCAS Server 日志SingleLogout initiated for user1app1的SingleSignOutFilter日志Session xxx destroyed提示答辯時監(jiān)考老師大概率會讓你現場演示“權限控制驗證”。提前準備好兩個賬號admin含role:admin和user1僅role:user并打開瀏覽器開發(fā)者工具的 Network 面板展示/admin/dashboard請求的響應狀態(tài)碼403和響應頭X-Shiro-Authz-Status: denied比講一百句原理都有力。5.2 答辯話術清單3 個高頻問題與滿分回答模板Q1為什么不用 Spring Security OAuth2而選 CAS Shiro? 標準回答“OAuth2 更適合第三方應用授權如微信登錄而 CAS 是專為企業(yè)內網單點登錄設計的協(xié)議。我們系統(tǒng)是封閉內網環(huán)境所有子系統(tǒng)都可控CAS 的 ST/PT 票據模型比 OAuth2 的 Access Token 更輕量Shiro 比 Spring Security 更易嵌入老 SpringMVC 項目無需重構 Controller 層。這不是技術落后而是場景匹配?！盦2CAS Server 如果宕機業(yè)務系統(tǒng)還能登錄嗎? 標準回答“不能。CAS Server 是認證中心宕機即全局無法登錄。但我們的設計已規(guī)避雪崩1. 業(yè)務系統(tǒng)本地 Session 仍有效已登錄用戶不受影響2. 我們配置了 CAS Client 的failFastfalse在CasAuthenticationFilter中當 CAS Server 不可達時會降級為本地表單登錄需額外開發(fā)保證核心業(yè)務可用。這是生產環(huán)境必須考慮的容災點?！盦3如何保證 CAS 返回的用戶屬性如 email不被篡改? 標準回答“CAS Server 與 Client 之間的通信全程走 HTTPS且每次票據校驗/serviceValidate都是 Client 主動發(fā)起的 Server-to-Server 請求票據本身由 CAS Server 用私鑰簽名Client 用公鑰驗證。XML 響應中的cas:user和cas:attribute都在簽名范圍內任何篡改都會導致 XML 解析失敗或簽名驗證不通過。所以只要 CAS Server 私鑰不泄露屬性就是可信的?！?.3 交付物清單與答辯前必檢項我的血淚經驗你交的不是代碼是一份可驗證的工程交付物。答辯前我強制自己走一遍以下 checklist少一項答辯時就可能被問住?pom.xml中shiro-cas版本明確寫為1.4.2不是1.4.0或1.4.3并確認 Maven 依賴樹中無沖突版本?web.xml里CasAuthenticationFilter的casServerLoginUrl和serverName與實際部署地址一致開發(fā)用localhost答辯演示用192.168.x.x?ehcache-shiro.xml文件存在且內容正確至少包含shiro-activeSessionCache緩存配置? 數據庫中user_role和role_permission表有測試數據user1用戶只關聯role:useradmin用戶關聯role:admin?CasRealm的doGetAuthorizationInfo()方法中userService.findRolesByUserId()返回的是SetString不是ListStringShiro 要求 Set從那以后我每次提交畢設代碼都強制走一遍這個 checklist并用手機錄屏演示完整登錄→權限攔截→單點注銷流程把視頻放在docs/demo.mp4里。答辯老師沒時間看代碼但一定會點開視頻看一眼——這一眼往往就是分數分水嶺。希望幫到你。本文還有配套的精品資源點擊獲取