Spring Security SAML2和用户名密码登录在同一API中

Question

我正在努力实现一个登录功能，以在Spring Boot中保护REST API，我正在努力让用户名/密码JWT身份验证和SAML2身份验证同时工作。我最优先考虑的配置是不管发生什么都能工作的配置。目标是将SAML提供程序用作具有内部身份验证流的服务的替代身份提供程序，然后向用户授予JWT，无论他们使用SAML还是应用程序的登录名。

我将遵循SAML的这个示例，并构建了一个用户名/密码JWT授权，该授权也可以使用。但他们只能独立工作，或在被给予最高优先权的情况下工作。

当我使用多个配置执行某些操作时，例如：

@EnableWebSecurity
class MultiConfig {
 @Config
 @Order(1)
 static class JWTConfig extends WebSecurityConfigurerAdapter {
  // working JWT configs
}

@Config
@Order(2) 
static class SAMLConfig extends WebSecurityConfigurerAdapter {
  // working SAML Configs
}


}

配置是分开工作的，但当组合在一起时，Spring Security只处理优先级最高的内容。

从5.6.3开始，我正在Spring Security Core中使用新的（ish）SAML2库。

我得到的具体错误在一个示例endpoint上：

@RequestMapping(value = "/valid/saml/landing", method = POST).
String testSaml(Model model, @AuthenticationPrincipal Saml2AuthenticatedPrincipal principal) {
 // Supposed to get user info here
}

当用户名/密码JWT被合并并优先使用时，上面的endpoint表示“主体为空”。最终目标是将SAML断言视为替代身份验证，并向用户授予应用程序JWT。

Answer 1

事实证明，配置一直是正确的，这是一个SAML响应重定向问题。

SAML响应正在重定向到"/"，而它应该重定向到"/my/saml/endpoint"。