spring-security-saml2是否不支持无签名含加密断言的SAML响应？

Spring Security SAML2服务提供者（SP）默认强制要求SAML响应必须签名，哪怕断言是加密的。这是出于安全合规性考虑：未签名的响应无法证明其来源的真实性，存在被篡改的风险，不符合SAML2的安全最佳实践。

你提到的验证工具显示响应有效，是因为这类工具通常只检查SAML响应的结构合规性，不会强制执行所有安全规范，而Spring Security是严格遵循安全标准的实现。

解决方案 #

1. 优先调整IDP配置（推荐） #

联系IDP管理员，配置IDP对SAML响应进行签名。这是最安全的做法，符合SAML2规范要求，从根源上解决问题。

2. 自定义SP配置放宽验证（仅在必要时使用） #

如果无法修改IDP配置，可通过自定义Spring Security的SAML2验证逻辑，跳过响应签名检查。但需明确：这会降低系统安全性，仅适用于完全信任IDP传输通道（如全程HTTPS且无中间人攻击风险）的场景。

示例代码如下，通过自定义OpenSaml4AuthenticationProvider跳过响应签名验证：

@Bean
public OpenSaml4AuthenticationProvider saml2AuthenticationProvider() {
    OpenSaml4AuthenticationProvider provider = new OpenSaml4AuthenticationProvider();
    // 自定义响应验证逻辑，跳过签名检查
    provider.setResponseValidator(responseValidationContext -> {
        // 可添加其他必要验证，比如断言的有效期、受众等
        return Saml2ResponseValidatorResult.success();
    });
    return provider;
}

内容的提问来源于stack exchange，提问作者hieund