Nginx背后的Spring SAML 2.0

Question

我有一个Spring-boot web应用程序，它使用https://samltest.id/提供的SAML身份验证。

它在localhost上工作得很好，但现在我试图将它放在有nginx的服务器上。Ngnix的配置使得任何http请求都被重定向到https，并且https://myserver.company.com/myapp/被发送到http://local_ip:local_port/。

<md:AssertionConsumerService Location="http://myserver.company.com:80/saml/SSO"
    Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" isDefault="true" index="0"/>
<md:AssertionConsumerService Location="http://myserver.company.com:80/saml/SSO"
    Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" index="1"/>

请注意，URL是基于HTTP的。

经过大量的Google搜索，我尝试了以下方法：我修改了samlprocessingfilter配置，使filterprocessesurl属性为“/myapp/saml/sso”而不是默认值“/saml/sso”。

现在metadata.xml包含：

<md:AssertionConsumerService Location="http://myserver.company.com:80/myApp/saml/SSO"
    Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" isDefault="true" index="0"/>
<md:AssertionConsumerService Location="http://myserver.company.com:80/myApp/saml/SSO"
    Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" index="1"/>

null

现在，在成功登录后，我会像预期的那样被重定向到https://myserver.company.com/myapp/SAML/sso，但是我从应用程序中得到一个401，其中包含消息“Authentication failed：incommed SAML message is invalid”，并且在应用程序日志中有“org.opensaml.common.samlException：Unsupported Request”。

Answer 1

经过几次尝试，我找到了解决办法。不需要修改SamlProcessingFilter或上下文根。关键是使用SamlContextProviderLB而不是手册“高级配置”一章中所述的SamlContextProviderImpl。另外，在我的问题中已经描述的EntityBaseURL更改也是必要的（手册中也有）。