Spring security ADFS SSO集成-响应没有任何可以通过主题验证的有效断言

Question

在使用ADFS执行SSO验证时，我的Spring Boot应用程序有时会显示以下错误。ADFS超时设置为1小时，应用程序超时设置为4小时。来自fiddler trace的响应日志是加密格式的。在spring security完成解密后，有没有方法在日志中打印响应？如何在spring saml与ADFS集成中禁用加密。

在java.base/java.util.concurrent.ThreadPoolExecutor$worker.run(ThreadPoolExecutor.java:628)在org.apache.tomcat.util.threads.taskthread$wrappingrunnable.run(Taskthread.java:61)在java.base/java.lang.thread.run(Thread.java:835)原因：org.springframework.security.Authentication.credentialsexpiredexception：身份验证语句太旧，不能与org.springframework.security.saml.websso.websoProfileConsumerImpl.Verifyauthenticationstatement soProfileConsumerImpl.java:574)位于org.springframework.security.saml.websso.websoProfileConsumerImpl.verifyassertion（websoProfileConsumerImpl.java:342)位于org.springframework.security.saml.websso.websoProfileConsumerImpl.processAuthenticationResponse（websoProfileConsumerImpl.java:250)...63常用帧省略2020-10-15 18:02:00,453 INFO org.springframework.security.saml.saml.log.samlDefaultLogger

org.opensaml.common.samlexception%3响应没有任何有效的断言可以通过org.springframework.security.saml.webso.websoprofileconsumerimpl.processauthenticationresponse（websoprofileconsumerimpl.java:265)（org.springframework.security.samlauthenticationprovider.java:88)上的主题验证

此问题非常随机地发生，并迫使关闭所有浏览器或从浏览器中手动删除MSISAuth cookie以显示ADFS登录页面。清除应用程序中的MSISAuth cookie而不给出任何有效结果。

对于ForceAuthN=true，我们没有看到这个错误，但是用户并不乐意每次都登录到应用程序。

Answer 1

SAML响应失败的原因有很多。在您的特定情况下，它与IDP会话有关。

错误:身份验证语句太旧，不能与值2020-10-27T02:15:21.067Z一起使用，表示会话启动（上次登录）的时间比配置的时间长。

在我看来，你有两种选择：

null

这就是我在借鉴的方式：

private static final int HOURS_ALLOWED_FROM_PREVIOUS_LOGIN = 720; // 30 Days

@Bean
public WebSSOProfileConsumer webSSOprofileConsumer() {
    WebSSOProfileConsumerImpl profileConsumer = new WebSSOProfileConsumerImpl();
    int secondsFromPreviousLogin = HOURS_ALLOWED_FROM_PREVIOUS_LOGIN * 3600;
    profileConsumer.setMaxAuthenticationAge(secondsFromPreviousLogin);
    profileConsumer.setProcessor(processor());
    return profileConsumer;
}