CAS的logout问题
今天使用CAS部署实现了单点登录,扩展了界面,也扩展了登陆认证,但是在logout的时候发现一些问题:
前提:两个web应用web1和web2,一个CAS服务端casserver,本机域名:www.mycas.com
问题一:
1.登录了web1，redirect到casserver,casserver认证后，再redirect到web1;
2.http方式 lougout casserver，即http://www.mycas.com:8080/cas/lougout,显示logout成功;
3.访问web1,web2,还是不用验证就能访问,即相当于注销没用;
4.原因是你不通过https来注销，casserver无法"杀"掉它通过https发给你的TGC Cookie,所以你可以关闭浏览器注销.
问题二:
1.登录了web1，redirect到casserver,casserver认证后，再redirect到web1;
2.https方式 lougout casserver1，即https://www.mycas.com:8443/cas/lougout,显示logout成功
3.访问web1不用验证就能访问,但是访问web2的时候就无法访问了,重定向到casserver的登录界面;
4原因是你已经能够访问的东西可以继续访问，CASLogout不能阻止你访问web1，它只能阻止你访问web2，因为你已经被允许访问web1，而web2则还没有，如果你在(第一种情况)的时候，顺带也访问web2，那么你的注销将毫无作用了，CAS无法阻止你访问这两个web，因为你有Service Ticket。
如果你认为Logout就是退出系统，那时不正确的，因为CAS Logout的作用不是这样，它的作用是阻止你继续通过TGC（它简单地清除了IE的TGC Cookie）来获取ST，阻止你获取通向其他web应用的Ticket。所以，用完web1的时候，注销，然后再关闭掉IE就彻底Logout了。
另外也可以增加JS脚本，在logout时将对应的jsessionid清空；另外注销地址要考虑登录时是否有使用HTTPS，登录时使用了HTTPS，则注销时一样要使用HTTPS
(By:Gxmis-alextang)