Spring Security SAML偶发Credential Expired异常排查求助

问题背景 #

我们使用Spring Security SAML Extension项目，已在WebSSOProfileConsumer Bean中设置maxAuthenticationAge为8小时：

@Bean
public WebSSOProfileConsumer webSSOprofileConsumer() {
    CustomWebSSOProfileConsumerImpl consumerImpl = new CustomWebSSOProfileConsumerImpl();
    consumerImpl.setMaxAuthenticationAge(28800); // 8小时，单位秒
    return consumerImpl;
}

但部分用户登录时出现404错误，认证失败后被重定向至rest/saml/sso。日志显示SAMLResponse中的AuthnInstant字段为旧时间（例如2024-10-16T07:45:37.771Z），触发CredentialsExpiredException，而该时间并非用户最近的登录时间。

1. 为何认证时会获取到旧的时间戳？ #

可能的原因包括：

• IDP端缓存旧认证会话：身份提供商（IDP）可能保留了用户之前的认证会话，用户再次登录时直接复用旧的AuthnInstant，未生成新的认证记录。
• 浏览器复用旧SAML响应：用户浏览器缓存了之前的SAMLResponse，后续请求重复提交该旧响应，导致SP端拿到过期时间戳。
• IDP与SP会话配置不匹配：如果IDP的会话超时时间远长于SP设置的maxAuthenticationAge，用户在IDP会话有效期内再次登录时，IDP可能返回旧的认证时间戳。
• 网络延迟导致旧响应滞后送达：网络波动使之前的SAMLResponse延迟到达SP，此时用户已发起新登录，但旧响应先被处理，触发过期异常。
• 自定义Consumer逻辑问题：若CustomWebSSOProfileConsumerImpl重写了AuthnInstant处理逻辑，可能存在错误读取或复用旧时间戳的情况。

2. 如何调试或回溯SAML认证中发送的凭证？ #

可通过以下方式调试：

• 开启SAML详细日志：将Spring配置中org.springframework.security.saml包的日志级别设为DEBUG，完整记录SAML请求、响应内容，包括AuthnInstant等关键字段。
• 抓包分析SAML消息：用浏览器开发者工具的网络面板或Wireshark抓取SP与IDP间的HTTP请求，查看实际传输的SAMLResponse内容，确认AuthnInstant是否为IDP返回的旧值。
• 在自定义Consumer中加日志：在CustomWebSSOProfileConsumerImpl处理SAML响应的方法里，主动打印AuthnInstant值、响应ID、接收时间等信息，追踪时间戳来源。
• 检查IDP端日志：联系IDP管理员查看认证日志，确认每次用户登录生成的AuthnInstant是否正确，是否存在复用旧会话的情况。
• 添加SAML消息拦截器：实现SAMLMessageReceiver类的拦截逻辑，在接收SAML响应时记录完整消息内容，方便回溯凭证细节。

内容的提问来源于stack exchange，提问作者Heyyou