1.首先了解几个概念
1）、TGC：Ticket-granting cookie，存放用户身份认证凭证的cookie，在浏览器和CAS Server间通讯时使用。
2）、TGT：ticket granting ticket，TGT对象的ID就是TGC的值，在服务器端，通过TGC查询TGT。TGT封装了TGC值以及此Cookie值对应的用户信息。
3）、ST：service ticket，CAS为用户签发的访问某一service的票据，ST是TGT签发的。
2.单点登录的流程
现在有系统A、系统B、认证中心。
用户首次访问系统A的时候：
1）用户通过浏览器访问系统A https://localhost:8443/spring-shiro-cas/index，系统A取不到局部session，这时候系统A需要做一个额外的操作，就是重定向到认证中心
2）请求 https://localhost:8443/cas-server/login?service=https://localhost:8443/spring-shiro-cas/cas,认证中心看浏览器有没有携带TGC，一看没有，返回cas login form让用户登录。
service 参数的作用其实可以认为是一个回调的 url（在cas客户端也就是系统A配置），将来通过服务端认证后，还要重定向到系统A。/cas是拦截器的地址，接收cas服务端票据，拦截之后交由casFilter处理验证票据
但是在这里还有一个作用就是注册服务，简单来说注册服务为的是让我们的认证中心能够知道有哪些系统在我们这里完成过登录，其中一个重要目的是为了完成单点退出的功能。
3）用户输入用户名密码，验证正确，在服务端创建全局session TGT,并且set cookie TGC，path=/cas-server
重定向跳转到系统A，并且携带验证票据ST，https://localhost:8443/spring-shiro-cas/cas?ticket=ST-39-2Vh3Ee6xYUs4y0XTy4bw-cas01.example.org
系统A看访问地址是/cas，交给casFilter处理。
4）系统A的casfilter将地址栏获取的ticket发送给认证中心，进行票据的验证。认证中心验证票据合法，返回用户登录信息给系统A，系统A在本地创建局部会话session。并且set cookie,path=/spring-shiro-cas
再重定向请求资源。
5）请求https://localhost:8443/spring-shiro-cas/index，携带cookie，系统验证cookie session，通过后返回资源页面给浏览器。
用户第二次访问系统A的时候：
1）用户再次访问 https://localhost:8443/spring-shiro-cas/index，并且带着cookie，系统A通过cookie找到局部session，证明之前用户已经登录过系统。
2）系统A返回受限资源给用户。
用户首次访问系统B的时候：
1）用户通过浏览器访问系统B https://localhost:8443/spring-shiro-cas-2/index，系统A取不到局部session，这时候系统B需要做一个额外的操作，就是重定向到认证中心
2）请求 https://localhost:8443/cas-server/login?service=https://localhost:8443/spring-shiro-cas-2/cas,认证中心看浏览器有没有携带TGC，一看有，获取到全局session TGT，证明已经登录过。
3）重定向跳转到系统B，并且携带验证票据ST，https://localhost:8443/spring-shiro-cas-2/cas?ticket=ST-56-2bb3Ee6xYUskkdTy4bw-cas01.example.org
4）系统B将地址栏获取的ticket发送给认证中心，进行票据的验证。认证中心验证票据合法，返回用户登录信息给系统B，系统B在本地创建局部会话session。并且set cookie,path=/spring-shiro-cas-2
再重定向请求资源。
5）请求https://localhost:8443/spring-shiro-cas-2/index，携带cookie，系统验证cookie session，通过后返回资源页面给浏览器。
问题：CAS是如何解决cookie不能跨域问题的？
在前面描述的认证过程已经提到，认证中心验证用户登录通过后生成传给浏览器的cookie TGC的路径在/cas-server,只要请求的路径包括https://localhost:8443/cas-server，那么CAS就可以知道当前用户是已经登录过的，但是由于跨域的原因，客户端（应用系统）无法直接获取cookie，所以客户端是无法直接信任当前用户的。
所以过程就是浏览器访问客户端，客户端说我没法知道你是谁（没有cookie），你去找认证中心看他那有没有你的资料。
浏览器找到认证中心（这时携带身份凭证cookie TGC了），认证中心说：“我知道你是谁，你拿着这个登录票据ticket去找客户端。”
浏览器把ticket给了客户端，客户端说：“你稍等，我向认证中心确认下你这个票据是不是他给的”，得到确认后客户端终于把浏览器请求的资源返回给它。
这个地方不理解原理的时候很容易认为用户登录系统A之后，系统A会存放登录状态session，生成cookie给浏览器path=/spring-shiro-cas，但是由于跨域的原因，在访问系统B的时候，系统B又拿不到这个cookie.那怎么知道它有没有登录过呢？
这种想法就是错误的！！
要清楚首次单点登录的时候是会产生两个cookie的，一个是CAS和浏览器的全局会话，一个是应用系统和浏览器的局部会话。
系统A和浏览器的session-cookie是局部会话，确实访问系统B的时候不起作用了。
但是！！因为登录系统A的时候是去的认证中心，身份凭证是存放在CAS 服务器中，是全局会话，用户再首次访问任何一个系统都会要求去认证中心看有没有这个东西，所以只要登录过一次，后面都会带上。
我们再来回顾下这个过程
1. 单点登录的过程中，第一步应用服务器将请求重定向到认证服务器，用户输入账号密码认证成功后，只是在浏览器和认证服务器之间建立了信任(TGC)，但是浏览器和应用系统之间并没有建立信任。
2. ST是CAS认证中心认证成功后返回给浏览器，浏览器带着它去访问应用系统，应用系统再凭它去认证中心验证你这个用户是否合法。只有这样，浏览器和应用系统才能建立信任的会话。
3. 而TGC的作用主要是用于实现单点登录，就是当浏览器要访问应用系统2时，应用系统2也会重定向到认证中心，但是此时由于TGC的存在，认证中心信任了该浏览器，就不需要用户再输入账号密码了，直接返回给浏览器ST，重复2中的步骤。
最后来个官方详细图解：
