Spring Security SAML-HTTPS连接

Question

关于Spring Security SAML扩展v1如何处理SSL（HTTPS）连接，我有几个问题。0版本。

我正在使用扩展来开发SP。我使用的远程IDP有一个HTTPS URL。我在Tomcat使用的JRE cacerts密钥库中拥有该SSL证书的根和颁发证书。IDP的元数据通过HTTPMetadataProvider很好地加载。在我的SP元数据的ExtendedMetadata中，我有：

<property name="securityProfile" value="metaiop"/>
<property name="sslSecurityProfile" value="pkix"/>

当我点击我的SP时，我会被重定向到我的IDP，我会提供我的凭据。然后IDP将我发送回我的SP。但我在这里得到一个错误error org。springframework。安全山姆。相信MetadataCredentialResolver PKIX路径为不受信任的凭据构建失败

日志显示，这是在构建SOAP消息之后发生的。我想我的SP正在尝试连接到我的IDP以解决工件问题。

在Spring SAML留档的第7.2.3节中，它说默认情况下HTTPS元数据连接将使用Java的密钥库。如上所述，我已经处理好了。但是在第8.1.4秒中，它说直接SSL/TLS连接（与HTTP-artiact绑定一起使用）需要验证服务器提供的公钥，并且应该检索证书并将其作为通常的公钥导入密钥库。我假设这意味着在JKSKeyManager中定义的SP的密钥库。当我将SSL证书从我的IDP导入SP密钥库时，错误消失了，一切正常。

第一个问题，这是正确的处理方式吗？HTTPS上的工件解析能否不使用JRE的cacerts密钥库？

第二个问题如果我不将证书导入SP密钥库并将sslSecurityProfile值更改为metaiop，我仍然会在同一时间收到错误，但它显示SSL对等方未能对name： null进行主机名验证，即使我将sslHostname验证设置为lowAll。为什么会发生这种情况？

根据我对MetaIOP配置文件的理解，它在IDP的元数据中查找证书。由于该证书与SSL证书不同，因此会失败。对的

Answer 1

是的，工件解析期间打开的HTTPS连接仅使用samlKeystore中的密钥。jks（或另一个配置的KeyManager）用于信任解析，cacerts被忽略。

将SSL上的安全配置文件更改为MetaIOP意味着您必须导入HTTPSendpoint使用的确切证书（导入密钥库或IDP的元数据-它会检查两者）。系统也不会验证证书的有效性（或任何其他由标准PKIX算法验证的值）。

使用PKIX，您可以导入证书颁发机构的证书，系统将自动信任它颁发的证书。

我相信系统在主机名验证上失败的原因是由于Java8中的一些变化。Spring SAML将从X509TrustManager抛出证书异常-向JDK指示服务器不受信任，但JDK不会进一步报告此异常，而是返回一个空SSL会话-稍后在主机名验证时失败，因为它的主机名为空。

检查SSLSession是否正确打开的主机名验证逻辑位于OpenSAML（TLSProtocolSocketFactory）中，可能会在更高版本中进行修改。

所以这个异常有点误导，但除此之外系统行为是正确的。