如何更改Spring Security SAML的默认SP SSO URL？

Question

我尝试在我的项目中集成Spring Security SAML。我体验过okta的演示。我知道URI /saml/SSO用于使用Idp中的SAML响应。但是我在我的Idp中注册了一个与URI /saml/SSO不同的消费-uri，它不能更改。

因此，我必须找到一种方法来更改默认的SSO进程URL。

我想我需要在下一步做一些改变：

1. 更改FilterChainProxy

public FilterChainProxy samlFilter() throws Exception {
        List<SecurityFilterChain> chains = new ArrayList<>();
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/login/**"),
                samlEntryPoint));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/logout/**"),
                samlLogoutFilter));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/metadata/**"),
                metadataDisplayFilter));
        // chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSO/**"),
        // samlWebSSOProcessingFilter()));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/consume/**"),
        samlWebSSOProcessingFilter()));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSOHoK/**"),
                samlWebSSOHoKProcessingFilter()));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SingleLogout/**"),
                samlLogoutProcessingFilter));
        chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/discovery/**"),
                samlDiscovery));
        return new FilterChainProxy(chains);
       }

public class CustomSAMLProcessingFilter extends SAMLProcessingFilter {
    public CustomSAMLProcessingFilter() {
        this("/saml/consume");
    }

    public CustomSAMLProcessingFilter(String defaultFilterProcessesUrl) {
        super(defaultFilterProcessesUrl);
    }

    @Override
    protected String getProfileName() {
        return super.getProfileName();
    }

    @Override
    protected boolean requiresAuthentication(HttpServletRequest request, HttpServletResponse response) {
        return super.requiresAuthentication(request, response);
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        return super.attemptAuthentication(request, response);
    }
}

    @Bean
    public SAMLProcessingFilter samlWebSSOProcessingFilter() throws Exception {
        // SAMLProcessingFilter samlWebSSOProcessingFilter = new SAMLProcessingFilter();
        SAMLProcessingFilter samlWebSSOProcessingFilter = new CustomSAMLProcessingFilter("/saml/consume");
        samlWebSSOProcessingFilter.setAuthenticationManager(authenticationManager());
        samlWebSSOProcessingFilter.setAuthenticationSuccessHandler(samlAuthSuccessHandler);
        samlWebSSOProcessingFilter.setAuthenticationFailureHandler(samlAuthFailureHandler);
        return samlWebSSOProcessingFilter;
    }

        http
                .authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/pre-auth**").permitAll()
                .antMatchers("/form-login**").permitAll()
                .antMatchers("/error").permitAll()
                .antMatchers("/saml/**").permitAll()
                .antMatchers("/saml2/**").permitAll()
                .antMatchers("/css/**").permitAll()
                .antMatchers("/img/**").permitAll()
                .antMatchers("/js/**").permitAll()
                .antMatchers("/sw.js").permitAll()
                .anyRequest().authenticated();

之后，当我尝试登录时，过滤器链中没有任何反应。在控制台中，我的项目收到了SAML响应，但没有更多反应。网页显示错误页面。

当我之前做过Okat演示时，它得到了我的登录信息并显示在成功页面中。

我想知道如何更改默认SSO进程URL并成功登录。请你们给我一些想法或建议来帮助我解决这个问题，谢谢！

Answer 1

您似乎正在使用旧的处于维护模式的spring security saml项目。请改用Spring Security的SAML支持。

在Spring Security的SAML支持中，断言ConsumerServiceLocation的默认值是登录/saml2/sso/{registrationId}
应用程序将处理任何包含SAMLResponse参数的POST请求。

您可以在创建相关PartyRegistration时对此进行自定义。

如果您使用的是Spring Boot，您可以在application.yml.中配置它

spring:
  security:
    saml2:
      relyingparty:
        registration:
          one:
            identityprovider:
              metadata-uri: https://idp/metadata.php
            acs:
              location: "{baseUrl}/custom/{registrationId}"

要更新登录处理URL，您可以自定义HttpSecurity

http
    .saml2Login(saml2 -> saml2
            .loginProcessingUrl("/custom/{registrationId}")
    );