SP中具有不同二级域的多个AssertionConsumerService

Question

我正在用spring security saml扩展实现一个多租户应用程序。

我为每个租户提供了一个服务提供商（SP）。所有SP都运行在与SP特定的第二级域公开的同一服务器上：

• sp1。myapp。com/myapi/1/

在每个SP元数据文件中，我都配置了特定于租户的AssertionConsumerService。

当我测试SSO登录时，当SP端收到身份提供者（IDP）的响应时，我会得到一个KO。在原木一侧，我只看到：

ERROR [BaseSAMLMessageDecoder] SAML message intended destination endpoint 'https://sp1.myapp.com/myapi/saml/SSO' did not match the recipient endpoint 'https://default.myapp.com/myapi/saml/SSO'

其中'https://default.myapp.com/myapi/saml/SSO'是设置为负载均衡器上下文提供程序的serverName的URL：

<bean id="lbContextProvider" class="org.springframework.security.saml.context.SAMLContextProviderLB" init-method="afterPropertiesSet">
    <property name="metadata"    ref="metadata" />
    <property name="keyManager"  ref="keyManager" />
    <property name="scheme"      value="https" />
    <property name="serverName"  value="default.myapp.com" />
    <property name="contextPath" value="/myapi" />
    <property name="serverPort"  value="443" />
    <property name="includeServerPortInRequestURL" value="true" />
</bean>

在docs.spring.io/spring-security-saml我看到

服务提供者现在可以使用相同的绑定定义多个断言使用者endpoint

• 如何配置它
• 它是否与负载平衡器上下文提供程序冲突
• 我可以为不同的二级域提供多个AssertionConsumerService而不再现此冲突吗

• 这个问题似乎用LB解决了，但谁知道我是否可以向负载平衡器上下文提供程序提供多个serverName（可能是动态选择）
• 按照第13章文档的建议，禁用InResponseToField的检查。Springio/Spring Securitysaml，针对这个问题
• 按照此问题的建议，配置successRedirectHandler的defaultTargetUrl（其中我使用的自定义超类为org.springframework.security.web.authentication.SimpleRuthenticationSuccessHandler）。此外，该溶液不是多租户

<bean id="successRedirectHandler" class="org.MySamlAuthenticationSuccessHandler" 
                            init-method="afterPropertiesSet">
    <property name="contextPath" value="/myapi" />
    <property name="defaultTargetUrl" value="https://default.myapp.com/myapi/saml/SSO"/>
    <property name="requireProxyWrapping" value="false"/>
</bean>

Answer 1

通过扩展SamlContextProviderLB自定义SAMLContextProviderLB。

在自定义类中，添加构造函数并使用默认值初始化。

重写getLocalAndPeerEntity/getLocalEntity/populateLocalEntityId。在每个方法中，根据requestURL中的域设置lbDomain。

上述方法对我有效。