WSO2和Spring SAML单一注销问题

Question

我遇到的问题已经在这个网站上讨论过几次了，但是大多数帖子都很旧了。这与我的经历相似。我使用WSO2 IS 5.2作为我的IdP，我有两个基于java的Web应用程序托管在参与SSO的不同服务器上。每个webapp（SP）都实现了Spring-SAML扩展。单点登录完美，但单点注销仅部分有效。这是测试用例：

1. 访问webapp1上的安全资源
2. 显示来自Idp（WSO2）的登录页面，用户登录
3. 提供来自webapp1的安全资源
4. 访问webapp2上的安全资源
5. SAML请求发送到Idp，Idp响应并验证用户
6. 呈现来自webapp2的安全资源，结束SSO
7. 从webapp2启动单次注销
8. Webapp2向Idp发送saml请求（通过浏览器）并返回saml响应
9. 用户在webapp2本地注销，Idp会话终止
10. IdP直接向webapp1（反向通道类型）发送注销请求
11. 注销请求对webapp1失败（日志指示SamlStatusException：没有用户登录）

所以最终结果是我在webapp1上仍然有一个本地会话。如果我改变顺序并从webapp1启动SLO，那么webapp1将被注销，webapp2的本地会话将继续存在。WSO2服务器能够在SLO期间确定第二个会话参与者，但是从Idp发送到第二个会话参与者的HTTP请求没有Spring Security上下文。这将是一个无状态的HTTP请求，因此不会有登录用户。这就是我认为它失败的原因。

我发现了这个讨论。它大约2岁。这个问题有什么新的消息吗？可能是我在WSO2或Spring saml配置中错过了一个配置步骤。

这是我的SP元数据的相关部分：

<md:SingleLogoutService Location="https://tpap10-wwwdev04.arbfile.org:443/webapp/saml/SingleLogout" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"/>
<md:SingleLogoutService Location="https://tpap10-wwwdev04.arbfile.org:443/webapp/saml/SingleLogout" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"/>
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:X509SubjectName</md:NameIDFormat>
<md:AssertionConsumerService Location="https://tpap10-wwwdev04.arbfile.org:443/webapp/saml/SSO" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" isDefault="true" index="0"/>
<md:AssertionConsumerService Location="https://tpap10-wwwdev04.arbfile.org:443/webapp/saml/SSO" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" index="1"/>

SP上的一些相关Spring Saml配置：

  <bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter">
<constructor-arg>
  <bean class="org.springframework.security.saml.metadata.MetadataGenerator">
    <property name="entityId" value="urn:webapp1:mycity"/>
    <property name="entityBaseURL" value="https://wwwdev04.domain.org:443/webapp" />
    <property name="extendedMetadata">
      <bean class="org.springframework.security.saml.metadata.ExtendedMetadata">
        <!-- <property name="signMetadata" value="false"/> -->
        <property name="idpDiscoveryEnabled" value="false"/>
      </bean>
    </property>
  </bean>
</constructor-arg>
</bean>

Answer 1

WSO2没有正确实现SAML 2.0规范。该规范要求使用前端通道（=通过用户的浏览器）完成带有HTTP-*绑定的单次注销，这使得HTTP会话可用，并允许Spring SAML正确终止它。我相信这个问题在WSO2中从未得到解决。

默认情况下，Spring SAML使用HttpSession存储用户状态。这也是Spring SAML不支持使用现成SOAP绑定进行单次注销的原因。可以实现Spring Security会话的应用程序范围存储，该存储可以独立于HttpSession而失效（因此可以绕过WSO2的限制），但这不是默认配置的（我从未尝试过）。