Apereo CAS 内嵌 Tomcat 容器配置实战：HTTP/2、协议连接与 IPv4 强制

后端认证鉴权单点登录【免费下载链接】casApereo CAS - Identity Single Sign On for all earthlings and beyond.项目地址https://gitcode.com/gh_mirrors/ca/cas点击查看免费下载本文围绕 Apereo CAS 的内嵌 Servlet 容器Embedded Tomcat配置展开先说明内嵌容器的默认行为默认启用 HTTP/2 协议升级再结合cas-server-webapp-tomcat模块的自动装配与定制器源码讲清server.tomcat.*及cas.server.tomcat.*两组配置如何在启动时落到 Tomcat 的 Connector 与 Valve 上最后给出文档中强调的 IPv4 强制配置方法及其对外部容器的对应处理方式。读完后你可以直接对照源码定位内嵌 Tomcat 的启动链路并能在自己的部署中完成端口、协议、Valve 与地址族层面的定制。内嵌容器的默认行为默认开启 HTTP/2原始文档给出的第一句关键提示是内嵌容器默认会尝试启用 HTTP/2 协议。这一点在源码中有直接印证——CasTomcatServletWebServerFactoryCustomizer在为额外 HTTP Connector 与 AJP Connector 创建协议处理器时都会追加一个 HTTP/2 升级协议为额外 HTTP 端口创建 Connector 时调用connector.addUpgradeProtocol(new Http2Protocol())随后tomcat.addAdditionalConnectors(connector)注册进容器为 AJP Connector 同样执行ajpConnector.addUpgradeProtocol(new Http2Protocol())为代理httpProxy场景的主 Connector 也再次connector.addUpgradeProtocol(new Http2Protocol())。相关文件见 CasTomcatServletWebServerFactoryCustomizer。因此即便未显式声明CAS 的 Tomcat Connector 也具备在支持条件下升级到 HTTP/2 的能力如果你的前端是纯 HTTP/1.1 代理或需要关闭升级行为需要在协议处理器层做相应约束。模块入口与自动装配cas-server-webapp-tomcat文档中的模块引用对应仓库中的cas-server-webapp-tomcat模块bundledtrue。该模块的测试类 CasWebApplicationServletInitializerTests 验证了CasWebApplicationServletInitializer可以在 MockServletContext 上无异常启动并打上ApacheTomcat测试标签。真正的装配逻辑位于cas-server-webapp-init-tomcat模块入口为 CasEmbeddedContainerTomcatAutoConfigurationAutoConfiguration ConditionalOnFeatureEnabled(feature CasFeatureModule.FeatureCatalog.ApacheTomcat) Import({CasEmbeddedContainerTomcatConfiguration.class, CasEmbeddedContainerTomcatFiltersConfiguration.class}) public class CasEmbeddedContainerTomcatAutoConfiguration { }即仅当ApacheTomcat特性模块启用时才会导入内嵌 Tomcat 的容器配置与过滤器配置。核心 Bean 定义在 CasEmbeddedContainerTomcatConfiguration 中要求类路径同时存在Tomcat与Http2ProtocolBean ConditionalOnMissingBean(name casServletWebServerFactory) public ServletWebServerFactory casServletWebServerFactory( final ServerProperties serverProperties, final CasConfigurationProperties casProperties) { return new CasTomcatServletWebServerFactory(casProperties, serverProperties); } ConditionalOnMissingBean(name casTomcatEmbeddedServletContainerCustomizer) Bean public WebServerFactoryCustomizer casTomcatEmbeddedServletContainerCustomizer(...) { return new CasTomcatServletWebServerFactoryCustomizer( applicationContext, serverProperties, tomcatServerProperties, casProperties); }这条装配链决定了后文所有server.tomcat.*/cas.server.tomcat.*配置的落点。配置项全景server.tomcat.* 与 cas.server.tomcat.*文档的 “Configuration” 一节指向以server.tomcat.开头的所有属性。这部分实际上由两类属性共同构成Spring Boot 标准的server.tomcat.*如线程、连接数、协议处理器参数等由 Spring Boot 的ServerProperties/TomcatServerProperties绑定CAS 自定义的cas.server.tomcat.*集中在 CasEmbeddedApacheTomcatProperties 中定义包含以下子项均可在配置文件中按需展开属性前缀cas.server.tomcat.说明serverName控制 Tomcat Connector 的Server响应头默认Apereo CASsocket.*内嵌容器 TCP Socket 参数bufferPool、appReadBufSize、appWriteBufSize、performance 三项ajp.*额外 AJP Connector端口、secret、proxyPort、redirectPort、attributeshttp.*列表额外 HTTP Connector 列表端口、协议、redirectPort、secure、attributesclustering.*会话复制/集群Delta/Backup Manager、组成员、Cloud 成员发现httpProxy.*针对主端口 Connector 的代理定制scheme、secure、protocol、proxyPort、redirectPortsslValve.*SSLValve透传 sslSessionId/sslClientCert 等头部rewriteValve.*RewriteValve从指定资源文件加载重写规则remoteUserValve.*从指定请求头读取远程用户并注入 PrincipalextAccessLog.*ExtendedAccessLogValve自定义 pattern、目录、前缀/后缀basicAuthn.*Tomcat 层 Basic 认证登录配置、安全角色、约束端口未显式配置时的行为configureHttp中有一段值得注意的兜底逻辑如果http.*列表中的某个端口port 0会随机取 4000–9000 之间的端口并打印警告var port http.getPort(); if (port 0) { port RandomUtils.nextInt(PORT_RANGE_MIN, PORT_RANGE_MAX); LOGGER.warn(No explicit port configuration is provided to CAS. Using random port [{}], port); }生产环境务必显式配置端口避免落到随机值导致防火墙与负载均衡规则失配。Socket 与 Server 头的落点finalizeConnectors会把cas.server.tomcat.socket.*映射为 Connector 的socket.*属性并把serverName写入 Connector 的Server属性connector.setProperty(Server, tc.getServerName()); if (socket.getBufferPool() 0) { connector.setProperty(socket.bufferPool, String.valueOf(socket.getBufferPool())); } // appReadBufSize / appWriteBufSize / performanceBandwidth / performanceConnectionTime / performanceLatency 同理这解释了为什么“Server 响应头”“TCP 调优参数”在 CAS 里既可以通过server.tomcat.*Spring Boot 侧也可以通过cas.server.tomcat.*CAS 侧两条路径生效。源码纵深CasTomcatServletWebServerFactory 做了什么CasTomcatServletWebServerFactory 继承自 Spring Boot 的TomcatServletWebServerFactory在构造与后置处理中做了三件关键事端口与上下文路径构造器接收ServerPropertiesserver.servlet.context-path非空时调用setContextPath强制 HTTPS 的约束注入postProcessContextcasProperties.getServer().getTomcat().getHttp() .stream() .filter(http - http.getRedirectPort() 0) .forEach(http - { val securityConstraint new SecurityConstraint(); securityConstraint.setUserConstraint(CONFIDENTIAL); val collection new SecurityCollection(); collection.addPattern(/*); securityConstraint.addCollection(collection); context.addConstraint(securityConstraint); }); context.setReloadable(false); val webResourceRoot new ExtractingRoot(); webResourceRoot.setCachingAllowed(true); context.setResources(webResourceRoot);只要cas.server.tomcat.http.*.redirectPort 0对应 Context 的/*会被标记为CONFIDENTIAL从而要求走 TLS 端口同时关闭 Context 热重载并启用带缓存的ExtractingRoot保证静态资源读取性能。会话集群可选getTomcatWebServer阶段读取cas.server.tomcat.clustering.*启用时组装SimpleTcpClusterGroupChannelNioReceiver/PooledParallelSender/TcpPingInterceptor/TcpFailureDetector/MessageDispatchInterceptor并按clusteringType选择McastService或CloudMembershipServiceManager 类型支持DeltaManager与默认的BackupManager。静态成员通过clusterMembers的address:port:index规格解析index限定在[0, 255]并自动派生 16 位 uniqueId。IPv4 强制配置文档核心操作文档给出的直接操作是在run 命令上追加 JVM 系统属性强制 Apache Tomcat 使用 IPv4 地址族-Djava.net.preferIPv4Stacktrue对于外部 Tomcat 容器部署文档明确指出同样的配置需要应用到$CATALINA_OPTS环境变量。即内嵌容器走启动命令行的-D外部容器走CATALINA_OPTS两者本质都是给 JVM 设置java.net.preferIPv4Stack系统属性区别仅在于属性注入的载体不同。适用前提该属性是 JVM 全局的会影响所有 Socket 栈行为若你的环境存在 IPv6 内部网段或混合地址族解析切换前需确认 DNS 与负载均衡是否支持纯 IPv4 解析。错误页与 Valves内嵌容器的额外定制CasTomcatServletWebServerFactoryCustomizer#configureErrorReportValve会把StandardHost的错误报告 Valve 替换为 CasErrorReportValve 并setShowServerInfo(false)避免错误页泄露服务器信息。其余可选 ValveExtendedAccessLog、SSL、Rewrite、RemoteUser、Basic 认证均按cas.server.tomcat.*对应子属性是否启用而条件装配全部集中在同一个定制器内便于单一入口排查“某个 Valve 为什么没生效”。小结与验证路径默认行为内嵌 Tomcat 的 HTTP/AJP/Proxy Connector 都会追加Http2Protocol升级能力装配链路ApacheTomcat特性开启 →CasEmbeddedContainerTomcatAutoConfiguration→casServletWebServerFactorycasTomcatEmbeddedServletContainerCustomizer配置落点server.tomcat.*Spring Boot与cas.server.tomcat.*CAS 扩展含 socket/ajp/http/clustering/valves/basicAuthnIPv4 强制启动命令-Djava.net.preferIPv4Stacktrue外部容器写入$CATALINA_OPTS可验证的测试入口CasWebApplicationServletInitializerTests 以及webapp/cas-server-webapp-init-tomcat/src/test/java/org/apereo/cas/tomcat/下的工厂与集群测试。赞分享后端认证鉴权单点登录【免费下载链接】casApereo CAS - Identity Single Sign On for all earthlings and beyond.项目地址https://gitcode.com/gh_mirrors/ca/cas点击查看免费下载相关推荐Apereo CAS 内嵌 Jetty Servlet 容器配置cas.server.jetty 参数与 SNI 主机校验深度解析Apereo CAS 内嵌 Jetty Servlet 容器配置 cas.server.jetty 参数与 SNI 主机校验深度解析 本文聚焦 Apereo后端认证鉴权单点登录Apereo CAS协议2.0规范详解Apereo CAS协议2.0规范详解 协议概述 Apereo CASCentral Authentication Service是一个开源的企业级单点登录后端认证鉴权单点登录Dify 零代码快速教程30分钟搭出你的智能邮件管家Dify 零代码快速教程30分钟搭出你的智能邮件管家 每天打开收件箱,几十封邮件堆着,人工分拣、分类、回复耗时又累。Dify 是一个开源的大语言模型应用开发平后端认证鉴权单点登录上一篇3步打造LocalAI情感识别应用从文本中提取用户真实情绪下一篇5个Rockpack高级技巧自定义Webpack配置与ESLint规则优化创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考