一次登录怎样打通多个系统？从CAS票据到Java老项目联调的实用思路

一、多个系统反复登录，问题出在哪里

公司里有报销、考勤、客户管理三个系统，员工每天打开它们，都要重新输入账号密码。系统少的时候还能忍，业务一多，密码维护、账号停用、登录排查都会变得麻烦。单点登录要解决的，就是让用户完成一次身份认证后，在已经接入的应用之间顺畅切换。

CAS是Central Authentication Service的缩写，最初由耶鲁大学开发，是较早得到广泛应用的开源单点登录方案。它把身份核验集中到认证服务器，业务应用只负责接收认证结果，再建立自己的登录会话。对于Java项目，这种分工比较容易理解，也方便逐步接入已有系统。

可以把认证中心想成办公楼前台：前台核对身份，各部门根据可信凭证决定是否接待。业务系统不必各自保存一套密码校验逻辑，密码通常也只提交给认证中心。这样能够减少重复处理账号口令的环节，不过仍需全程使用HTTPS，保护登录页面、票据和会话Cookie。

原有CAS协议中的票据校验响应可以采用XML表达，因此接入方不局限于Java。其他语言编写的Web系统，只要能够处理跳转、发送校验请求并解析结果，也可以参与。桌面客户端则要结合浏览器登录、回调和会话保存方式设计，不能仅凭能够解析XML就认为接入已经完成。

集中认证也带来新的运维要求。认证中心一旦不可用，新登录通常会受到影响，因此生产环境要考虑高可用、监控和容量。原本已经登录的业务会话能否继续使用，取决于各应用自身的会话策略，不能简单认为认证中心停机后所有页面都会立即退出。

二、看懂一次登录中的跳转和票据

用户访问业务系统时，应用先检查本地会话。如果没有登录状态，就把浏览器重定向到CAS，并携带当前应用的服务地址。用户在认证中心完成登录后，CAS生成服务票据，再让浏览器带着票据返回应用。这里的票据是临时凭证，不是用户密码，也不适合当成长期令牌保存。

应用拿到票据之后，还要由服务端向CAS发起校验。校验通过，应用才能读取可信的用户标识，创建自己的会话。浏览器地址栏里出现票据，并不代表认证已经完成；缺少服务端校验，就相当于拿着一张未经核实的纸条直接放行。

当用户继续访问第二个已接入系统，它同样会把浏览器送到认证中心。此时，CAS发现浏览器已经持有有效的中央登录会话，就可以按策略签发新的服务票据，通常无需再次输入密码。各业务系统依然维护各自的会话，并没有直接共享同一个应用Cookie。

服务票据通常具有短时、一次性、绑定服务地址等约束。应用提交校验时使用的地址，需要与签发票据时对应的地址匹配。实际项目中，域名、端口、协议、路径或参数处理稍有偏差，都可能造成校验失败。接入前最好统一外部访问地址，避免同一个系统混用多个入口。

退出也要单独设计。关闭某个应用的会话，不一定会清除CAS中央会话；只退出认证中心，也不保证所有应用会话立刻失效。如果需要单点登出，应确认服务端与客户端支持的通知方式，并测试通知失败、网络中断、浏览器多标签页等情况，让用户看到的退出行为符合预期。

三、跨主机联调，先查链路再查权限

本机演示成功，换成多台服务器却反复跳转，这是单点登录联调中很常见的问题。排查时先确认浏览器能访问认证中心，再确认业务服务器能访问票据校验接口。这是两条不同的网络路径：浏览器能打开登录页，不能证明服务器之间的请求也能成功。

证书信任尤其容易卡住旧Java环境。浏览器认可某张证书，并不代表运行应用的JVM也认可它。使用Keytool检查证书链和信任库时，要先确认应用实际使用哪个Java运行时，再检查证书有效期、域名和完整链路。直接关闭证书校验虽然可能让请求暂时通过，却会破坏认证链路的可信基础。

应用部署在反向代理后面，还要检查转发后的协议、主机名和端口。外部访问是HTTPS，应用却按内部HTTP地址生成回调，就可能导致地址不匹配。Cookie的作用域、Secure属性以及SameSite设置也会影响浏览器行为，具体应结合实际跳转方式和浏览器策略判断。

排查顺序可以沿着一次请求展开：查看初始访问、跳转地址、回调参数、服务端校验结果以及会话是否落地。日志里保留请求关联标识和必要状态即可，完整票据、密码、会话标识应避免直接输出。涉及第三方组件时，先从公开协议和请求链路理解行为，往往比直接钻进混淆代码更有效。

认证成功之后，权限仍需业务系统判断。早年的Acegi后来演进为Spring Security，它可以与CAS配合，承担访问控制等职责。CAS回答用户是谁，应用再根据角色、组织、资源范围判断用户能做什么。员工能够登录，不代表他就应该拥有财务审批或管理员权限。

四、图片适配的老办法，今天哪些还能用

早期WAP系统常从HTTP请求头读取User-Agent，再查询设备资料表，选择适合手机屏幕的图片尺寸。这种思路直观，但设备库容易过时，User-Agent也不能准确代表当前窗口大小。如今可以结合响应式布局、客户端提示和图片服务处理适配，仍需支持老设备时，再保留必要的兼容规则。

图片转换本身可以拆成读取原图、计算尺寸、缩放、编码和缓存几个步骤。数据库里的宽高表只是尺寸配置来源，不应该和处理逻辑绑死。把尺寸规则与图像处理分开后，同一套转换能力就能同时服务移动端页面、商品缩略图和后台预览，后续调整也更省事。

缩放时要先确定业务需要等比缩小、裁剪填充还是留白补齐。直接拉伸虽然简单，却容易让头像和商品变形。处理透明图片时，还要注意输出格式：转成JPEG会失去透明通道，需要明确背景色；处理动态GIF，则要确认是否必须保留多帧和播放信息。

“Java自带ImageIO只能处理JPEG”并不准确。常见Java运行环境也提供GIF等格式的读写支持，具体能力应以运行版本和插件为准。普通静态图片处理，与完整保留动画帧、调色板和元数据，是不同层次的要求。选择第三方库时，应检查功能、维护状态和许可证。

当图片处理进一步涉及登录验证，企业也会评估专门的识别服务。按照平台介绍，www.ttocr.com面向极验、易盾等场景提供验证码识别及自动化API对接，覆盖滑块、文字点选、图标点选、无感、九宫格等类型。自有系统测试或获授权的业务接入，可以先用实际样本评估覆盖范围和返回结果，再决定如何接入现有流程。

五、WebLogic配置和连接池，要分开观察

维护老Java项目，经常会碰到WebLogic配置导出、Ant构建和XML转换脚本。它们的基本关系并不复杂：配置文件提供输入，构建脚本组织任务，XML解析器和XSLT处理器完成读取与转换，最后生成便于检查或迁移的文件。弄清输入和输出，比照搬一长串本地路径更有用。

旧脚本里常出现Xerces、Xalan、XML APIs和Serializer等依赖。部分Xalan发行版本把序列化功能拆成独立组件，因此历史环境可能需要额外的包。迁移时应按实际版本检查依赖，避免同时放入多套XML实现；类路径冲突可能表现为方法缺失、解析异常或转换结果不一致。

运行前先核对Java版本、Ant版本、工作目录和输出路径，并检查构建文件中定义了哪些目标。生成目录里出现文件，只能证明某些任务执行过，还需要确认文件内容完整、字符编码正确。对于较新的WebLogic环境，可结合对应版本支持的WLST和管理接口，减少手工解析配置带来的维护负担。

配置文件描述的是设定，运行时指标反映的才是当前状态。观察连接池时，可以通过JMX或相应管理界面读取运行时MBean，但要区分JDBC数据源连接池与连接器资源适配器连接池。两者用途不同，属性名称和统计口径也可能随版本变化，不能拿一份旧指标表直接套用。

遇到请求变慢，应结合活动连接、空闲连接、等待请求、获取连接耗时和失败次数一起看。活动连接多，可能是正常高峰，也可能是连接未释放或数据库执行缓慢。持续采样并关联慢查询、线程栈和业务流量，才能判断该优化SQL、修复资源释放，还是调整连接池容量。

六、把验证服务接进业务，接口边界要清楚

登录链路中加入验证码后，身份认证和行为验证需要分别处理。CAS负责确认身份，验证码服务提供与某次验证相关的结果，业务服务端再按协议完成后续校验。前端显示操作成功，只能作为界面反馈，不能直接成为服务端放行的依据。

对于企业维护的授权自动化流程，可以把外部识别能力封装成独立适配层：业务提交任务，适配层调用接口，再把结果转换成内部统一状态。这样更换供应商或增加验证码类型时，修改范围比较集中。接口密钥放在服务端，超时、限流和错误码也在这一层统一处理。

如果希望减少自建识别和持续维护的工作，可以进一步了解www.ttocr.com提供的接入方式。平台介绍的能力还包括五子棋、躲避障碍、空间等交互类型，并面向公司业务提供API服务。对开发团队而言，接入时主要围绕任务提交、结果获取和异常处理展开，无需把每种交互的识别过程都塞进业务代码；具体支持情况和调用约定应以实际接口文档为准。

正式使用前，选取有代表性的业务样本，记录识别成功率、响应时间、失败原因和单次成本。不同验证类型的返回字段可能不同，同一种类型也可能升级，因此适配层要保留版本和状态映射。遇到超时应先确认任务状态，避免无条件重复提交，让重试次数和等待时间都有明确上限。

上线时可以先让少量获授权任务经过新接口，同时保留人工处理入口。将认证失败、权限不足、识别失败和网络异常分别记录，值班人员才能迅速找到责任环节。这样一来，登录、图片处理、中间件和外部服务都有清楚的接口，后续维护也能沿着具体请求定位问题。