Java 验证REST服务中的令牌ST Apereo CAS（无状态）

我为我的英语不好道歉

我有Apereo CAS用作登录SSO的工具。当我与应用程序状态一起使用时，这非常有效。但是我想为特定场景调用API REST（无状态），并验证登录的用户（并使用您在服务上的信息）。我的后端API是用Spring Boot开发的。有人需要类似的情况吗

Ps：此API将通过前端访问，没有前端的服务将无法访问，因此我将无法使用cookie

用序列图来举例说明我的想法：

---

谢谢。

您的前端应用程序需要请求CAS服务器进行代理身份验证

代理身份验证的一个更常见的用例是能够获取后端[基于REST的]服务的票证，该服务也受CAS保护。通常情况是：

• 用户面临受CAS保护的应用程序A
• 后端的应用程序A需要联系服务S以生成数据
• 服务本身受CAS本身的保护

由于前端通过不涉及浏览器的服务器到服务方法在后端联系服务，后端将无法识别SSO会话已经存在。在这些情况下，前端需要执行代理，以便为后端获取代理票证。代理票证被传递到后端的相关端点，以便它可以通过CAS检索和验证，并最终生成响应

跟踪路由可能如下所示：

• 浏览器导航到前端
• 前端重定向到CAS
• CAS使用ST进行身份验证并重定向回前端
• 前端尝试验证ST，并请求PGT
• CAS确认ST验证，并发布代理授予票证PGT
• 前端要求CAS为后端API生成PT，并在其请求中提供PGT
• CAS为后端API生成一个PT
• 前端联系服务的端点，在请求中传递PT
• 后端API尝试通过CAS验证PT
• CAS验证PT并生成成功响应
• 后端API接收响应，并为前端生成数据
• A在浏览器中接收并显示数据

---

有关详细信息。

您的前端应用程序需要请求CAS服务器进行代理身份验证

代理身份验证的一个更常见的用例是能够获取后端[基于REST的]服务的票证，该服务也受CAS保护。通常情况是：

• 用户面临受CAS保护的应用程序A
• 后端的应用程序A需要联系服务S以生成数据
• 服务本身受CAS本身的保护

由于前端通过不涉及浏览器的服务器到服务方法在后端联系服务，后端将无法识别SSO会话已经存在。在这些情况下，前端需要执行代理，以便为后端获取代理票证。代理票证被传递到后端的相关端点，以便它可以通过CAS检索和验证，并最终生成响应

跟踪路由可能如下所示：

• 浏览器导航到前端
• 前端重定向到CAS
• CAS使用ST进行身份验证并重定向回前端
• 前端尝试验证ST，并请求PGT
• CAS确认ST验证，并发布代理授予票证PGT
• 前端要求CAS为后端API生成PT，并在其请求中提供PGT
• CAS为后端API生成一个PT
• 前端联系服务的端点，在请求中传递PT
• 后端API尝试通过CAS验证PT
• CAS验证PT并生成成功响应
• 后端API接收响应，并为前端生成数据
• A在浏览器中接收并显示数据

---

详细信息。

谢谢你的回答。谢谢你的回答。