Spring SSO集成启动NPE问题求助（Spring Security3.2.6+SAML1.0.3）

问题背景 #

将SAML SSO与Spring Security 3.2.6及spring-security-saml2-core 1.0.3集成，部署在Wildfly 13上，使用SSO Circle作为测试IDP，仅保护端点/app/catalogs/getProductSellSheet/**，启动应用时触发NullPointerException。

报错根源分析 #

从堆栈信息看，核心报错指向：

Caused by: java.lang.NullPointerException
    at org.springframework.security.saml.metadata.MetadataManager.getTrustEngine(MetadataManager.java:588)

这说明MetadataManager在尝试获取信任引擎（TrustEngine）时遇到空对象，根源在于配置中缺少必要的密钥管理和信任配置，导致初始化流程中断。

解决方案 #

1. 替换EmptyKeyManager为可用的密钥管理器 #

EmptyKeyManager仅适用于极端测试场景，多数情况下会导致信任引擎初始化失败。建议替换为JKSKeyManager，即使使用自签名证书：

<bean id="keyManager" class="org.springframework.security.saml.key.JKSKeyManager">
    <constructor-arg value="classpath:samlKeystore.jks"/>
    <constructor-arg value="your-keystore-password"/>
    <constructor-arg>
        <map>
            <entry key="your-alias" value="your-key-password"/>
        </map>
    </constructor-arg>
    <constructor-arg value="your-alias"/>
</bean>

可通过keytool生成简单的JKS密钥库：

keytool -genkey -alias your-alias -keyalg RSA -keystore samlKeystore.jks -keysize 2048

2. 完善ExtendedMetadataDelegate的信任配置 #

在IDP对应的ExtendedMetadata中添加信任相关属性，确保MetadataManager能正确识别信任关系：

<bean class="org.springframework.security.saml.metadata.ExtendedMetadata">
    <property name="trustAll" value="true"/> <!-- 测试环境可开启，生产环境需配置具体信任证书 -->
    <property name="requireArtifactResolveSigned" value="false"/>
    <property name="requireLogoutRequestSigned" value="false"/>
</bean>

3. 为MetadataGenerator补充必要依赖注入 #

当前配置的MetadataGenerator缺少keyManager和metadata依赖，需补充：

<bean class="org.springframework.security.saml.metadata.MetadataGenerator">
    <property name="entityId" value="mds-app"/>
    <property name="extendedMetadata">
        <bean class="org.springframework.security.saml.metadata.ExtendedMetadata">
            <property name="idpDiscoveryEnabled" value="true"/>
        </bean>
    </property>
    <property name="keyManager" ref="keyManager"/>
    <property name="metadata" ref="metadata"/>
</bean>

4. 验证IDP元数据文件有效性 #

确认/metadata/meta-idp.xml文件存在于classpath中，且格式正确。可从SSO Circle官方获取最新元数据，避免文件损坏或缺失。

5. 解决Bean依赖循环问题 #

当前配置存在samlEntryPoint依赖metadata、metadata初始化依赖其他组件的循环问题，可通过延迟加载非关键bean缓解：

<bean id="samlEntryPoint" class="org.springframework.security.saml.SAMLEntryPoint" lazy-init="true">
    <property name="defaultProfileOptions">
        <bean class="org.springframework.security.saml.websso.WebSSOProfileOptions">
            <property name="includeScoping" value="false"/>
        </bean>
    </property>
</bean>

验证步骤 #

1. 替换上述配置后重新打包部署应用
2. 访问受保护端点/app/catalogs/getProductSellSheet/**，检查是否正常跳转到SSO Circle登录页面
3. 登录成功后验证是否能正常访问目标端点

内容的提问来源于stack exchange，提问作者aashi