<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="#0563C1" vlink="#954F72"><div><p class="MsoNormal">For whatever reason, our CAS clients that are making requests with the gateway=true option for anonymous access, which work well with our CAS server, are not working with the IdP.</p></div></div></blockquote><div>There are two situations to consider in gateway mode:</div><div><br></div><div>1. You have a valid IdP session</div><div>2. You do NOT have a valid IdP session</div><div><br></div><div>The CAS protocol [1] says a ticket MAY be returned in the first case; conversely, the ticket MUST NOT be returned in the second.</div><div><br></div><div>My recollection is that I intended to _never_ grant a service ticket when a client requests gateway mode. That's likely different from what Jasig CAS does, but it's clearly allowed by the protocol spec.</div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="#0563C1" vlink="#954F72">
<p class="MsoNormal">The IdP is redirecting back to the service without painting a login view as expected, but the redirect does not have any parameters included, namely the ticket, if I already have a session on the IdP.<br></p></div></blockquote><div>I'm open to changing the behavior, but I'd need to understand your use case better.</div><div><br></div><div>M</div><div><br></div><div>[1] <a href="https://github.com/Jasig/cas/blob/4.1.x/cas-server-documentation/protocol/CAS-Protocol-Specification.md">https://github.com/Jasig/cas/blob/4.1.x/cas-server-documentation/protocol/CAS-Protocol-Specification.md</a> (the 2.0 spec is MIA on the Web, but the relevant parts are unchanged in 3.0)</div><div><br></div></div></div>