单点登陆CAS使用记（七）：关于服务器超时以及客户端超时的分析

个人预想状况

 通常状况下，当用户登陆一个站点后，若是长时间没有发生任何动做，当用户再次点击时，会被强制登出而且跳转到登陆页面，

提醒用户从新登陆。如今我已经为站点整合了CAS，而且已经实现了单点登陆以及单点注销，那么当用户使用过程当中，发生了超时的状况，

估计也是自动的强行登出了吧，并且可能其余部署了Cas的站点也跟着自动登出了。

我是这么猜测的。

 

那么实际状况究竟是什么样的

首先先列出我本身开发过程当中的遇到的一系列疑问：

1.Cas-Client超时后发生了什么？

2.Cas-Server超时后发生了什么？

3.Cas-Client与Cas-Server超时时间分别该怎么设置才比较好？

4.一个站点超时，其余站点集中被注销了吗？

 

下面来验证一下实际状况

1.Cas-Client超时后发生了什么？

Cas-Client客户端其实不须要额外作超时的配置，由于是在原有项目的web.xml中配置，说白了就是原项目的一部分，

因此以原项目设置的超时时间为准。

通常状况都是在web.xml中这么设置的：

    <session-config>
        <session-timeout>120</session-timeout>
    </session-config>

验证方法：

事前准备：

　　1.把webApp1的超时时间设置为1分钟，webApp2不作修改，超时时间为2小时，CAS-Server默认超时时间也是2小时

　　2.启动CAS-Server、webApp一、webApp2

　　3.分别登陆webApp一、webApp2

验证动做：

　　2分钟后，我优先点击webApp1的网页，仿佛没有发生任何与超时相关的处理，依然能够正常访问全部页面。并无强制跳转到登陆页。我再点击webApp2的网页，也能够正常浏览。

　　又过了2分钟，我优先点击webApp2的网页，能够正常访问。再次点击webApp1，也能够正常访问。

验证结果：

　　1.webApp1虽然超时了，可是并无被强制登出，依然能够正常访问。

　　2.webApp2彻底没有受到webApp1的超时影响，也能够正常访问。

缘由分析：

...编写中

 

 2.Cas-Server超时后发生了什么？

cas服务端超时应该主要指的是TGT(ticket granting ticket)超时，若是TGT时间到期，则须要进行从新登陆。这里时间单位是毫秒，默认是两小时。

ticketExpirationPolicies.xml

    <bean id="grantingTicketExpirationPolicy" class="org.jasig.cas.ticket.support.TimeoutExpirationPolicy">
        <!-- This argument is the time a ticket can exist before its considered expired.  -->
        <constructor-arg
            index="0"
            value="7200000" />
    </bean>

验证方法：

事前准备：

　　1.CAS-Server默认超时时间也是2分钟，webApp1的超时时间设置为5分钟、webApp2的超时时间设置为10分钟。

　　2.启动CAS-Server、webApp一、webApp2

　　3.分别登陆webApp一、webApp2

验证动做：

　　3分钟后，CAS-Server应该已经超时了，这时我访问webApp1，能够正常访问。访问webApp2，也能够正常访问。

　　6分钟后，CAS-server与webApp1应该都超时了，这时访问webApp1，页面被强制重定向到登陆页面了。再访问webApp2，发现仍然能够正常访问。

　　11分钟后，webApp2页超时了，这时访问webApp2，页面就被重定向到登陆页面了。

验证结果：

　　1.CAS-Server的TGT超时，并不会影响到页面的正常访问，也就是说TGT超时后，并无主动的销毁客户端的Session。

　　2.只有当TGT超时后，而且客户端也超时了，这时候客户端才会主动向Cas-Server从新发起请求认证，而后发现TGT超时了，因此重定向回登陆页面。

　　3.一个客户端超时并不会影响其余客户端的正常访问。

缘由分析：

 ...编写中

 

 3.Cas-Client与Cas-Server超时时间分别该怎么设置才比较好？

 从以上两个验证能够发现，一旦客户端经过了CAS-Server认证后，客户端就至关于彻底独立了，即便再访问客户端的页面，客户端与CAS-Server之间也不在发生任何交互或者验证动做。

一直到客户端强制登出或者超时后，才会主动发起认证请求，CAS-Server才会被动的处理请求，判断是须要重定向仍是从新认证经过。

也就是说，若是服务端超时时间设置的太短，并不会起做用，仍是要等客户端超时后才行。

 

鉴于以上，客户端与服务端的超时时间应该设置为：

CAS-Server(TGT)超时时间  >=  Cas-Client的超时时间

 

4.一个站点超时，其余站点集中被注销了吗？

从以前的验证来看，一个站点超时，并不影响其余站点的正常访问。

 

 (注：以上属于我的谬论，不保证正确性，有错误请予以批评指正，不喜请喷。)

---

单点登陆CAS使用记系列：

• 单点登陆CAS使用记（一）：前期准备以及为CAS-Server配置SSL协议

• 单点登陆CAS使用记（二）：部署CAS服务器以及客户端

• 单点登陆CAS使用记（三）：实现自定义验证用户登陆

• 单点登陆CAS使用记（四）：为登陆页面加上验证码

• 单点登陆CAS使用记（五）：cas-client不拦截静态资源以及无需登陆的请求。

• 单点登陆CAS使用记（六）：单点登出、单点注销

• 单点登陆CAS使用记（七）：关于服务器超时以及客户端超时的分析

• 单点登陆CAS使用记（八）：使用maven的overlay实现无侵入的改造CAS