cas单点登录的权限问题

EX：A用户有权限登录到oa1系统中，而没有权限登录到oa2系统中。
当oa1，oa2这2个系统都实现了sso单点登录
A用户使用cas验证登录oa1系统成功后，那么生成的凭证就能使它直接登录oa2系统，而不需要验证
那么里面的权限应该如何去控制？个人观点：考虑过在登录成功后，在各个系统中去设置个拦截器，但是在系统去设置可能不是很好处理，别人的系统也不会给你设置吧，，，那么只有在cas中配置拦截器，但是cas好像不做权限这块，，，求指点！！！！！！！cas