一次登录Spring SAML CRSF

Question

我使用Spring Saml解决方案来保护在tomcat上运行的rest api。

我使用的是spring-security-saml2-core1.0.2。与Spring security 4.1.1一起发布。释放

我已经创建了一个Onelogin测试连接器/应用程序。如果我试图访问http://localhost:8080/app-name/api/getstate我会正确地重定向到Onelogin并进行身份验证。然后我会重定向到http://localhost:8080/app-name/saml/SSO/alias/defaultAlias.

问题：：我得到“无法验证提供的CSRF令牌，因为找不到您的会话。”在重定向之后

这是根据Spring SAML扩展和Spring Security CSRF保护的冲突。

Vladimír Schäfer提供的解决方案建议在SAMLendpoint的securityContext中禁用CSRF。

这是可行的，但由于我对spring security和spring security都是新手，所以我必须回答相关的问题：

>

在这种情况下，对于Spring SAML URL，关闭其余api上的CSRF是否安全/最佳实践？

如果在Spring安全中启用CSRF，Onelogin是否有办法与Spring Saml一起工作？

Answer 1

我不是Spring专家，但我想我能解决你的疑问。

跨站点请求伪造（Cross-Site Request Forgery，CSRF）是一种攻击，它迫使最终用户在其当前已通过身份验证的web应用程序上执行不必要的操作。

SAML有自己的机制来防止不必要的操作，例如，在endpoint上，需要签署SAML消息来验证它们（只有合法的源才能正确签署SAML消息，因此我们避免模拟/消息修改）。

基于此，我认为在以下SPendpoint上禁用CSRF保护是正确的：

• ACS.断言消费者服务
• SLS.单一注销服务

在启动SP启动的SSO或SP启动的SLOendpoint上，我认为可以维持CSRF保护。

与另一个问题相关，我认为独特的方法是在Spring保存一个带有CSRF值的状态，传递一种恢复状态的方法作为RelayState参数。Onelogin将发送回除了SAML响应之外的relayState参数，您将能够恢复您的状态，恢复CSRF并避免CSRF令牌错误。