Tomcat 6.0.29升级到6.0.33破解CAS认证，redirectAfterValidation是罪魁祸首？

Question

我们有几个网络应用程序，以及一个针对同一个 Jasig CAS 实例进行身份验证的外部设备。这在 tomcat 6.0.29 上运行良好，但在升级到 6.0.33 后一切都崩溃了。

我们发现这是我们的验证过滤器重定向的问题，因为在我们的 CAS 验证过滤器中添加以下 init-param 修复了我们的网络应用程序之间的通信:

<init-param>
    <param-name>redirectAfterValidation</param-name>
    <param-value>false</param-value>
</init-param>

我们最终了解到这是必要的，因为 tomcat 6.0.33 启用默认情况下将其设置为 true，而最初设置为 false。问题是，现在我们的外部移动设备无法完成完整的身份验证 session ，因为它没有重定向。

移动设备验证成功，但在验证后我们的 CAS 发送了一个 http 内部服务器错误 500 和 kaputs，没有有用的调试日志记录。将 redirectAfterValidation init-param 值更改为 true 可以解决此问题。

我的问题是，如果这之前在默认值为 false 时可以正常工作，为什么现在不能正常工作了？ 6.0.33 中是否还有其他我没有看到的变化？抱歉，如果这个问题有点含糊，我会在被问及时尽量补充。

Answer 1

此问题与 CAS 服务器上错误的循环检测有关，这是由于 URL 重写以去除 header 中的 jsessionid。在 tomcat 服务器设置中将 disableURLRewriting 设置为 true 解决了这个问题。