无法在Spring security SAML SSO中更改默认的“回复Url”(断言消费者服务位置)

Question

我正在使用Spring安全性 Saml 2.0 和 SSO（单点登录）的Spring启动，并将 azure 作为标识提供者。

Spring Security使用“{baseUrl}/login/saml2/sso/{registrationId}”作为默认的“回复Url”，

但我想使用“{baseUrl}/登录/{注册Id}”

所以根据我写的官方文件

RelyingPartyRegistration relyingPartyRegistration = RelyingPartyRegistrations
                .fromMetadataLocation("https://login.microsoftonline.com/<metadata url>")
                .registrationId("azure")
                .entityId("{baseUrl}")
                .assertionConsumerServiceLocation("{baseUrl}/login/{registrationId}")
                .build();

通过这个，我进入了登录页面，但之后会有无限的登录循环。。。

Spring Boot无法POST到/login/azure

o.s.security.web.FilterChainProxy        : Securing POST /login/azure
s.s.w.c.SecurityContextPersistenceFilter : Set SecurityContextHolder to empty SecurityContext
o.s.security.web.csrf.CsrfFilter         : Invalid CSRF token found for http://localhost:8080/login/azure
o.s.s.w.access.AccessDeniedHandlerImpl   : Responding with 403 status code

我尝试允许此endpoint的CSRF并允许所有访问，但它无法解析元数据。

我发现它是在过滤器“Saml2WebSsoAuthenticationFilter”中实现的

Answer 1

在源代码中环顾四周，我找到了解决方案。

事实证明，您必须在两个位置更新“回复URL”链接

1. 在RelyingPartyRegistration或应用程序中。属性

这将告诉Spring成功登录后页面将被重定向到何处，在此URL上，IP（身份提供商）将以XML格式提供SAML响应。

因此，我们必须明确告诉Spring期望SAML在这个URL上响应并解析它。

@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http
                .authorizeRequests(authorize -> authorize
                        .anyRequest().authenticated()
                )
                .saml2Login(h -> h.loginProcessingUrl("/login/{registrationId}"));
   }
}

这将更新 Saml2WebSso 身份验证筛选以使用 /login/{注册 Id} 进行 SAML 解析，而不是 /login/saml2/sso/{注册 Id}