Spring Boot集成SAML2 Okta遇InResponseTo认证请求丢失问题

问题场景 #

已严格按照Okta的Spring Boot SAML集成指南完成开发，单浏览器标签页下登录、登出流程正常，但多标签操作时触发异常：

• 同时打开两个标签页（Tab1、Tab2）访问https://localhost，均跳转至Okta登录页
• Tab2点击「Sign In」成功登录
• Tab1点击「Sign In」后抛出错误：The response contained an InResponseTo attribute [] but no saved authentication request was found

问题原因 #

核心是SAML请求-响应绑定机制冲突：

1. 两个标签页分别发起SAML认证请求，Spring Security SAML会在会话中存储每个请求的唯一ID（对应响应的InResponseTo属性）
2. Tab2登录成功后，会话被更新（创建了认证会话），Tab1的请求ID被从会话中清除
3. 此时Okta返回Tab1的响应（或因已有会话直接返回无InResponseTo的响应），Spring找不到匹配的请求记录，触发错误

修复方案 #

方案1：调整SAML请求存储策略 #

修改Spring Security配置，增强请求存储的持久性，确保未完成的请求不会因会话更新丢失：

@Bean
public Saml2AuthenticationRequestResolver authenticationRequestResolver(RelyingPartyRegistrationRepository repo) {
    DefaultSaml2AuthenticationRequestResolver resolver = new DefaultSaml2AuthenticationRequestResolver(repo);
    // 自定义请求存储，延长超时时间
    resolver.setRequestStorage(request -> {
        HttpSessionRequestStorage storage = new HttpSessionRequestStorage();
        storage.setTimeout(Duration.ofMinutes(30));
        return storage;
    });
    return resolver;
}

方案2：配置Okta应用会话规则 #

在Okta管理后台调整SAML应用的会话设置：

• 进入应用「Sign On」标签，开启「Persistent Session」并设置合理的会话过期时间
• 打开「SAML Settings」→「Advanced Settings」，确保「Response」区域的「Include InResponseTo」设为Always，强制Okta在响应中携带该属性

方案3：前端拦截重复登录请求 #

在前端页面添加逻辑，避免同时发起多个登录请求：

function triggerLogin() {
    if (localStorage.getItem('loginInProgress')) {
        alert('已有登录流程在进行，请稍后操作');
        return;
    }
    localStorage.setItem('loginInProgress', 'true');
    window.location.href = '/saml2/authenticate/okta';
}

// 页面加载时检查登录状态，清除标记
window.addEventListener('load', () => {
    fetch('/auth/check')
        .then(res => res.json())
        .then(data => {
            if (data.isAuthenticated) localStorage.removeItem('loginInProgress');
        });
});

方案4：自定义错误跳转处理器 #

如果无法完全避免错误，捕获异常并引导用户重新登录：

@Bean
public Saml2AuthenticationFailureHandler saml2FailureHandler() {
    Saml2AuthenticationFailureHandler handler = new Saml2AuthenticationFailureHandler();
    handler.setAuthenticationFailureHandler((req, res, ex) -> {
        if (ex.getMessage().contains("InResponseTo attribute [] but no saved authentication request was found")) {
            // 重定向到登录页重新发起请求
            res.sendRedirect("/saml2/authenticate/okta");
        } else {
            res.sendError(HttpStatus.UNAUTHORIZED.value(), ex.getMessage());
        }
    });
    return handler;
}

// 在SecurityFilterChain中配置
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .saml2Login(saml2 -> saml2.authenticationFailureHandler(saml2FailureHandler()));
    return http.build();
}

内容的提问来源于stack exchange，提问作者victorDo