如何让Global Logout在使用spring-security-saml的多租户SAML应用程序中工作？

Question

我正在开发的多租户SAML应用程序使用spring security SAML，包含两个服务提供商和一个IDP（Active Directory联合服务）。将SSO应用到该应用程序中的开发人员选择将其变为多租户，因为它是一个具有两个不同接口的两用应用程序，本质上是两个应用程序合一。它设计用于两个选项卡打开的浏览器中，因此一个界面在第一个选项卡中运行，另一个界面在第二个选项卡中运行。除了一个特定的工作流外，一切似乎都正常工作：

1. 打开浏览器，导航到ADFS登录页面，然后与第一家服务提供商登录应用程序
2. 打开另一个选项卡，导航到ADFS登录页面，然后选择第二个服务提供商
3. 执行全局注销

日志文件包含以下错误：

在会话11cfm6ja982te14dxxul71iufg中找不到消息a598hd6ff68479a44c3495f7h4216aa接收到的注销响应无效日志响应中的InReposseToField不对应于发送的消息a598hd6ff68479a44c3495f7h4216aa

我怀疑这与选项卡之间共享相同的JSESSIONID cookie有关，因此当一个SP注销时，它会终止相关的会话。然后，当另一个SP尝试使用同一会话注销时，它会失败，因为该会话已退出。有人能帮我解决这个问题吗？

Answer 1

我终于能够通过在SecurityContextLogoutHandler bean中将validateHttp会话设置为false来正确工作。现在，当第一个服务提供商注销时，身份验证仍然会被清除，但会话仍然有效。然后当第二个服务提供商注销时，它会找到会话并成功注销。这应该没问题，因为默认情况下Jetty会在30分钟不活动后超时会话。这是我更改的bean：

//注销处理程序终止本地会话@Bean public SecurityContextLogoutHandler logoutHandler（）{SecurityContextLogoutHandler logoutHandler=new SecurityContextLogoutHandler（）；logoutHandler.setInvalidateHttpSession（false）；logoutHandler.setClearAuthentication（true）；返回logoutHandler；}