CAS小总结

 

11                 if (log.isTraceEnabled()) {

12                     log.trace ("Logout request=[" + logoutRequest + "]");

13                 }

14                 //从xml中解析 SessionIndex key值

15                 final String sessionIdentifier = XmlUtils.getTextForElement(logoutRequest, "SessionIndex");

16 

17                 if (CommonUtils.isNotBlank(sessionIdentifier)) {

18                         //根据sessionId取得session对象

19                     final HttpSession session = SESSION_MAPPING_STORAGE.removeSessionByMappingId(sessionIdentifier);

20 

21                     if (session != null) {

22                         String sessionID = session.getId();

23 

24                         if (log.isDebugEnabled()) {

25                             log.debug ("Invalidating session [" + sessionID + "] for ST [" + sessionIdentifier + "]");

26                         }

27                         

28                         try {

29                 //让session失效

30                             session.invalidate();

31                         } catch (final IllegalStateException e) {

32                             log.debug(e,e);

33                         }

34                     }

35                   return;

36                 }

37             }

38         } else {//get方式 表示登录，把session对象放到SESSION_MAPPING_STORAGE(map对象中)

39             final String artifact = request.getParameter(this.artifactParameterName);

40             final HttpSession session = request.getSession();

41             

42             if (log.isDebugEnabled() && session != null) {

43                 log.debug("Storing session identifier for " + session.getId());

44             }

45             if (CommonUtils.isNotBlank(artifact)) {

46                 SESSION_MAPPING_STORAGE.addSessionById(artifact, session);

47             }

48         }

49 

50         filterChain.doFilter(servletRequest, servletResponse);

51     }

先不管别的, 这么看,应该是 CAS SERVER 的 HTTPCLIENT 发起了一个类似

http://cs.xn.com/***?logoutRequest*** 大概这样子的请求, 里面有 session id(因为 server是遍历的形式,所以,即使有些CLIENT这边失效的sessionid,也会发过来)然后从 SingleSignOutHttpSessionListener 持有的全局 session表中获得 session实例,然后 session.invalidate();失效.并且从 全局 SESSION_MAPPING_STORAGE 里移除.

这样子,应该所有的子系统都会登出了.