SpringBoot SAML IDP发起流首次请求InResponseTo验证失败求助

一、会话存储与Cookie配置检查 #

• 核对Tomcat会话超时设置：默认超时30分钟，但你这里2分钟就失效，先查application.properties/application.yml里的server.servlet.session.timeout配置，比如：

  server:
    servlet:
      session:
        timeout: 30m
  

  同时检查Tomcat的context.xml里有没有<Manager>标签覆盖了超时时间。
• 确认会话Cookie属性：首次IDP重定向回来时，Cookie是否正确带了HttpOnly、Secure（HTTPS环境）、SameSite属性。Spring Boot默认配置可能导致首次响应未正确携带Cookie，客户端没保存会话就会丢InResponseTo。可以显式配置：

  server:
    servlet:
      session:
        cookie:
          http-only: true
          secure: true # 生产HTTPS环境开启
          same-site: Lax # 根据IDP域名调整，避免跨域Cookie丢失
  

• 验证首次请求的会话状态：在SAML响应处理端点（比如/login/saml2/sso/{registrationId}）加日志，打印request.getSession().isNew()，看首次请求时会话是否为新会话，且是否在处理响应前已建立。

二、Spring Security SAML的InResponseTo存储检查 #

• Spring Security SAML默认用HttpSessionSaml2AuthenticationRequestRepository存认证请求（含InResponseTo），首次请求会话没建好的话，存储就会失效。可以自定义实现这个接口，把请求存到Redis等分布式存储（集群环境），或者强制发起认证前创建会话：

  @Bean
  public Saml2AuthenticationRequestRepository<OpenSaml4AuthenticationRequest> saml2AuthenticationRequestRepository() {
      HttpSessionSaml2AuthenticationRequestRepository repository = new HttpSessionSaml2AuthenticationRequestRepository();
      // 设置存储超时，要比IDP响应超时久
      repository.setExpiry(Duration.ofMinutes(10));
      return repository;
  }
  

• 开启Spring Security DEBUG日志，看HttpSessionSaml2AuthenticationRequestRepository的loadAuthenticationRequest方法在首次请求时是否返回null，确认会话里有没有存到认证请求。

三、IDP发起认证的流程配置检查 #

• IDP发起SSO场景下，SP可能没预先生成并存储认证请求，直接处理IDP响应就会触发InResponseTo校验失败。要确认SP配置了支持IDP发起的SSO，比如在SecurityFilterChain里：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
          .saml2Login(saml2 -> saml2
              .idpInitiated()
              .loginPage("/login/saml2/sso/{registrationId}") // 确保IDP重定向到正确端点
              .authenticationRequestRepository(saml2AuthenticationRequestRepository())
          );
      return http.build();
  }
  

• 抓包看IDP返回的SAML响应里的InResponseTo值，对比SP日志里存储的认证请求ID，确认是否匹配。

四、Tomcat会话异常销毁排查 #

• 如果用Tomcat内存会话存储，检查是否因内存不足导致会话被回收。开启Tomcat会话日志，看会话创建和销毁的时间点是否和失败时间对应。
• 集群环境下必须共享会话，比如用Redis存储：

  spring:
    session:
      store-type: redis
      redis:
        namespace: spring:session
  

五、调试日志增强 #

• 开启Spring Security SAML的DEBUG日志，加到logback-spring.xml：

  <logger name="org.springframework.security.saml2" level="DEBUG"/>
  <logger name="org.springframework.security.web.authentication" level="DEBUG"/>
  

  查看认证请求的存储、加载过程，以及会话创建细节。
• 在Saml2AuthenticationFailureHandler里加自定义日志，打印Saml2AuthenticationException的完整堆栈和错误原因，确认是不是单纯的InResponseTo找不到问题。

内容的提问来源于stack exchange，提问作者csyperski