SAML HTTP重定向绑定中未保留查询字符串

Question

我们的一个客户正在为他们的标识提供程序提供包含参数的URL。元数据如下所示（为简洁起见，进行了大量缩写）：

<EntityDescriptor>
  <IDPSSODescriptor>
    <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
        Location="https://idp.example.com/login?parameter=value"/>
  </IDPSSODescriptor>
</EntityDescriptor>

可以看到，有一个名为“parameter”的参数，其值为“value”。生成的重定向URL中不存在此参数。我稍微调试了一下，发现SamlProcessorImpl从绑定（对于HTTP重定向来说是HttpRedirectDeflateEncoder)获取MessageEncoder，并委托对消息进行编码。编码器依次在其buildreDirecturl方法中执行以下操作：

// endpointURL is https://idp.example.com/login?parameter=value here
URLBuilder urlBuilder = new URLBuilder(endpointURL);

List<Pair<String, String>> queryParams = urlBuilder.getQueryParams();
queryParams.clear(); // whoops

所以出于某种原因，参数被故意无条件地剥离。

为什么会这样？我如何才能以最有效的方式解决这个问题？

Answer 1

SAML身份验证请求应该只由受信任的实体发送，并且带有不可篡改的参数。在根据HTTP-Redirect绑定编码的SamlaAuthnRequest之外添加参数意味着潜在攻击者可以随心所欲地更改值，而IDP将无法检测到此类更改，因为数字签名不会覆盖参数。

除了请求本身之外，SAML还提供了一种传递安全内容的机制，称为relayState，您可以使用Spring SAML的WebSSOProfileOptions来设置它。

以上就是清除参数的原因（至少我相信是这样，这个逻辑来自OpenSAML库，它不是由我编写的），但当然，如果您不介意安全影响，您找到的方法是很好的。