Spring Boot 3 SAML2如何设置maxAuthenticationAge及responseSkew

在Spring Boot 3搭配Spring Security SAML2的环境下，无需再通过自定义webSSOprofileConsumer Bean实现需求，推荐使用Spring Security提供的Saml2AuthenticationValidator抽象来配置这两个参数，更贴合框架的设计模式。

方案一：通过Saml2AuthenticationValidator自定义验证规则 #

创建配置类，替换默认的验证器Bean，直接设置responseSkew和maxAuthenticationAge：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.saml2.provider.service.authentication.Saml2AuthenticationValidator;
import org.springframework.security.saml2.provider.service.authentication.DefaultSaml2AuthenticationValidator;
import java.time.Duration;

@Configuration
public class Saml2ValidationConfig {

    @Bean
    public Saml2AuthenticationValidator saml2AuthenticationValidator() {
        DefaultSaml2AuthenticationValidator validator = new DefaultSaml2AuthenticationValidator();
        // 设置允许的时间偏移为600秒（10分钟）
        validator.setResponseSkew(Duration.ofSeconds(600));
        // 设置认证最大有效期为30天（可根据需求调整为ofMonths(1)，注意月份天数差异）
        validator.setMaxAuthenticationAge(Duration.ofDays(30));
        return validator;
    }
}

方案二：直接自定义OpenSAML的WebSSOProfileConsumer Bean #

如果仍需要直接操作OpenSAML底层组件，也可以自定义WebSSOProfileConsumerImpl Bean：

import org.opensaml.saml.saml2.profile.impl.WebSSOProfileConsumerImpl;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class OpenSamlProfileConfig {

    @Bean
    public WebSSOProfileConsumerImpl webSSOProfileConsumer() {
        WebSSOProfileConsumerImpl consumer = new WebSSOProfileConsumerImpl();
        // 设置responseSkew为600秒
        consumer.setResponseSkew(600);
        // 设置maxAuthenticationAge为30天对应的秒数
        consumer.setMaxAuthenticationAge(30 * 24 * 3600);
        return consumer;
    }
}

注意事项 #

• 优先选择方案一，Saml2AuthenticationValidator是Spring Security SAML2提供的高层抽象，与Spring Boot生态兼容性更好，后续版本迭代更易维护。
• 方案二属于直接操作OpenSAML底层API，仅在需要深度定制OpenSAML行为时使用，需确保项目中无其他冲突的WebSSOProfileConsumer Bean。

内容的提问来源于stack exchange，提问作者user24245216