SimpleSAMLPhp多会话文件生成及SAML无限循环问题求助

问题现象 #

• 发起SAML调用时持续生成会话文件，陷入无限循环
• 应用与SimpleSAMLPhp均使用PHP会话处理器，但接收IdP响应时，状态存储在一个会话文件，却尝试从另一个会话加载

错误与日志信息 #

核心错误 #

SimpleSAML\Error\Exception: Warning - session_regenerate_id(): Session ID cannot be regenerated when there is no active session at /app/speedbooking/application/simplesamlphp/src/SimpleSAML/SessionHandlerPHP.php:141 

警告信息 #

Secure session ID generation failed, falling back to custom ID generation. 

Could not load state specified by InResponseTo: NOSTATE Processing response as unsolicited.

会话状态日志 #

Apr 29 15:56:41 simplesamlphp DEBUG [60adaaaa0a] Saved state: '_b79ed93f9b6fd7b3fad37df6d95bcf04aa5beee455' 

Apr 29 15:56:50 simplesamlphp WARNING [5d85bd4490] Could not load state specified by InResponseTo: NOSTATE Processing response as unsolicited. 

环境与代码信息 #

环境版本 #

• PHP 8.2
• SimpleSAMLPhp 2.0.6

应用代码 #

Index.php（应用入口）

<?php  
include_once './init.php';  
echo "Session Id: " . session_id(); 

init.php

<?php
session_start(); 

ws.php

include_once './init.php';

$fncname = $_REQUEST['action'];
$fncname();

function loginUsingOkta() {
    ssoLogin();

    echo "Session data: " . json_encode($_SESSION);

    header("Location: /");
    exit();
}

function ssoLogin() {
    require_once './simplesamlphp/src/_autoload.php';

    // Close session and restore default handler
    session_write_close();
    session_set_save_handler(new SessionHandler(), true);

    // Authenticate against the 'default-sp' identity provider
    $auth = new \SimpleSAML\Auth\Simple('default-sp');

    if (!$auth->isAuthenticated()) {
        $auth->requireAuth();
    } else {
        // We are authenticated, let's get the attributes
        $attributes = $auth->getAttributes();

        // Use SimpleSAML\Session
        $session = \SimpleSAML\Session::getSessionFromRequest();

        $session->cleanup();
        session_write_close();

        // Back to custom save handler
        session_set_save_handler(new SessionHandler(), true);
        ini_set('session.save_path', './tmp/sessions');
        session_start();

        $_SESSION['email'] = $attributes['email'][0];
    }
}

问题根源分析 #

1. session.cookie_path配置错误：设置为./tmp/sessions是物理存储路径，而非Cookie的作用路径，导致浏览器无法正确识别会话Cookie，每次请求都生成新会话。
2. 会话处理器手动切换混乱：ssoLogin中手动关闭、切换会话处理器的操作，导致SimpleSAMLPhp的会话上下文与应用会话脱节，无法找到之前保存的SAML状态。
3. 会话存储路径不统一：应用和SimpleSAMLPhp的会话存储路径可能未对齐，进一步加剧会话不匹配问题。

解决步骤 #

1. 修正session.cookie_path配置 #

修改php.ini或在应用初始化时设置：

session.cookie_path = "/"

确保Cookie在整个网站域名下有效，浏览器能正确传递会话ID。

2. 简化会话处理器逻辑 #

移除手动切换会话处理器的代码，让SimpleSAMLPhp与应用共享会话：

function ssoLogin() {
    require_once './simplesamlphp/src/_autoload.php';

    // 直接使用当前应用会话，无需切换处理器
    $auth = new \SimpleSAML\Auth\Simple('default-sp');

    if (!$auth->isAuthenticated()) {
        $auth->requireAuth();
    } else {
        $attributes = $auth->getAttributes();
        // 直接存储到当前应用会话
        $_SESSION['email'] = $attributes['email'][0];

        // 清理SimpleSAMLPhp临时状态
        $session = \SimpleSAML\Session::getSessionFromRequest();
        $session->cleanup();
    }
}

3. 统一会话存储路径 #

在init.php中明确设置会话存储路径：

<?php
ini_set('session.save_path', './tmp/sessions');
session_start();

同时在SimpleSAMLPhp的config/config.php中配置相同路径：

'session.save_path' => './tmp/sessions',

4. 修复会话ID生成警告 #

确保PHP安装ext-openssl扩展，若网站使用HTTPS，设置：

session.secure = On

内容的提问来源于stack exchange，提问作者donTouzi