Spring SAML SSO with OKTA-更改Web应用程序上下文时的响应

Question

我们在OKTA SAML SSO与Spring Security的集成方面遇到了很多问题。我们使用Spring Security的saml dsl扩展来配置身份验证，在HTTP上一切正常，但是当我们尝试使用HTTPS时，身份验证仅在应用程序部署在根（/）上下文上时才起作用。当我们将上下文更改为其他内容时，它会停止工作，并开始抛出InResponseTo字段错误，有时使用不同的配置，它会出现重定向循环。

以下是我们正在使用的配置：

        http
                .csrf()
                .disable();
        http
                .sessionManagement().sessionFixation().none();
        http
                .logout()
                .logoutSuccessUrl("/");
        http
                .authorizeRequests()
                .antMatchers("/saml*").permitAll()
                .anyRequest().authenticated()
                .and()
                .apply(samlConfigurer())
                .serviceProvider()
                .keyStore()
                .storeFilePath(config.getKeystorePath())
                .password(config.getKeystorePassword())
                .keyname(config.getKeyAlias())
                .keyPassword(config.getKeystorePassword())
                .and()
                .protocol("https")
                .hostname(String.format("%s:%s", serverURL, config.getServerPort()))
                .basePath("/"+contextRoot)
                .and()
                .identityProvider()
                .metadataFilePath(config.getMetadataUrl());

我们也应该正确设置OKTA（https://localhost:8443/ourappcontext/saml/SSO用于测试，所有其他内容也包括在内）

我们已经尝试了这里提出的大多数解决方案和Spring留档（空工厂、Spring会话管理和会话固定等等），似乎没有任何效果。我们是不是做错了什么？我们目前没有生成任何SP元数据，有没有可能这是错误的，请求被重定向到错误的地方？现在真的很困惑，第一次使用SAML，我不确定它是扩展，OKTA配置还是Spring配置...

我们正在Wildfly上部署，您可以通过一个单独的jboss web在上面设置应用程序上下文。xml，如果这很重要的话。

Answer 1

默认情况下，将使用HttpSessionStorageFactory，这将提供HttpSessionStorageSAML消息存储。

--

当SAML响应传递给Spring Security SAML SP时，如果浏览器未发送HTTP会话cookie，则它无法找到相关的SAML AuthNRequest，并且无法将“InResponseTo”值与匹配AuthNRequest的“ID”值进行比较。

如果你不能保证HTTP会话cookie被交付，你可以实现你自己的SAMLMessageStorageFactory和SAMLMessagestore（就像我做的那样）。