GlassFish上Java前后端分离应用SAML2 SSO集成方案咨询

关于Kerberos Token重认证的可行性 #

• 若你的IdP支持Kerberos认证（如AD FS、Keycloak配置Kerberos），可在SAML断言中嵌入Kerberos Token，但需打通IdP与后端服务的Kerberos环境：
  • 后端需配置Kerberos服务端，验证前端转发的Token有效性
  • 注意：传输过程必须用HTTPS加密，建议通过后端网关统一处理认证逻辑，避免前端直接接触敏感Token，降低泄露风险

关于IdP登录响应直接发送至SP的状态同步 #

• 标准SAML2流程中，IdP的断言响应（SAML Response）是通过浏览器POST到SP的ACS（断言消费者服务）端点，而非前端登录页，你当前的跳转逻辑存在流程偏差：
  • 调整SP配置，将ACS端点设为后端服务接口（而非前端页面），后端在ACS端点完成SAML断言验证，生成会话凭证（如JWT、GlassFish容器会话）
  • 后端验证通过后，重定向至前端页面，通过HttpOnly Cookie、加密路由参数等安全方式告知前端登录状态，浏览器通过读取这些凭证判断用户已登录

适配前后端分离架构的安全SAML2 SSO方案推荐 #

方案1：后端ACS端点统一处理断言，生成会话凭证 #

1. 配置SP的ACS端点为后端GlassFish服务接口（如/saml/acs）
2. 后端在ACS接口中使用java-saml工具包验证SAML Response的签名、断言有效期、受众等字段
3. 验证通过后，生成HttpOnly、Secure的Session Cookie（GlassFish原生会话或自定义JWT Cookie），同时将用户信息存入后端会话
4. 后端重定向至前端首页，前端通过检测Cookie存在性判断登录状态，后续调用WSDL接口时自动携带Cookie，后端验证会话有效性

方案2：基于JWT的无状态认证扩展 #

1. 后端验证SAML断言后，生成包含用户信息的JWT（采用RS256签名算法防止篡改），返回给前端存入HttpOnly Cookie
2. 前端调用WSDL接口时，通过请求头携带JWT（或依赖Cookie自动传递），后端验证JWT签名与有效期后处理请求
3. 此方案适配分布式部署，无需依赖GlassFish容器会话

方案3：使用GlassFish容器原生SAML支持 #

• GlassFish本身集成了SAML2 SSO功能，可通过管理控制台配置SP角色：
  • 导入IdP元数据（XML文件）完成IdP配置
  • 配置应用的SAML断言消费者端点，由容器自动处理断言验证与会话管理
  • 前后端通过容器会话Cookie同步认证状态，前端无需处理SAML响应细节

关键安全注意事项 #

• 所有SAML相关请求必须通过HTTPS传输，防止断言被窃听或篡改
• 禁止前端解析SAML Response，所有断言验证逻辑必须在后端完成
• 配置SAML断言的NotBefore和NotOnOrAfter时间窗，严格限制断言有效期
• 必须使用IdP公钥验证SAML Response的签名，避免信任伪造断言

内容的提问来源于stack exchange，提问作者PhiloLars