Spring Security 6的SAML使用如何实现FIPS合规？有无已知解决办法？

1. 替换BouncyCastle依赖为FIPS合规版本 #

OpenSAML 4.1.1默认依赖非FIPS版本的BouncyCastle（如bcprov-jdk15on、bcpkix-jdk15on），你可以通过构建工具排除这些依赖，再引入FIPS认证的版本：

Maven配置示例： #

<!-- 排除Spring Security SAML依赖链中的非FIPS BouncyCastle -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-saml2-service-provider</artifactId>
    <version>6.x.x</version>
    <exclusions>
        <exclusion>
            <groupId>org.bouncycastle</groupId>
            <artifactId>bcprov-jdk15on</artifactId>
        </exclusion>
        <exclusion>
            <groupId>org.bouncycastle</groupId>
            <artifactId>bcpkix-jdk15on</artifactId>
        </exclusion>
    </exclusions>
</dependency>

<!-- 引入FIPS合规的BouncyCastle版本（与OpenSAML 4.1.1兼容） -->
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bc-fips</artifactId>
    <version>1.0.2.3</version>
</dependency>
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-fips</artifactId>
    <version>1.0.3</version>
</dependency>

注意：OpenSAML 4.x官方文档明确支持BouncyCastle FIPS 1.0.x系列，避免使用更高版本引发兼容性问题。

2. 配置OpenSAML使用FIPS安全提供者 #

替换依赖后，需要在应用启动阶段注册FIPS提供者，并强制OpenSAML使用合规算法：

代码示例： #

import org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider;
import org.opensaml.core.config.ConfigurationService;
import org.opensaml.xmlsec.config.impl.DefaultSecurityConfigurationBootstrap;
import org.opensaml.xmlsec.signature.support.SignatureConstants;

import java.security.Security;
import java.util.List;

@Configuration
public class FipsSecurityConfig {
    static {
        // 注册BouncyCastle FIPS提供者，设置为最高优先级
        Security.insertProviderAt(new BouncyCastleFipsProvider(), 1);
        
        // 初始化OpenSAML安全配置，替换为FIPS合规算法
        var securityConfig = DefaultSecurityConfigurationBootstrap.buildDefaultConfig();
        // 强制使用SHA-256withRSA签名算法
        securityConfig.getSignatureConfiguration().setSignatureAlgorithm(SignatureConstants.ALGO_ID_SIGNATURE_RSA_SHA256);
        // 强制使用AES-GCM加密算法
        securityConfig.getEncryptionConfiguration().setDataEncryptionAlgorithms(List.of(SignatureConstants.ALGO_ID_BLOCKCIPHER_AES_GCM));
        
        ConfigurationService.register(org.opensaml.xmlsec.SecurityConfiguration.class, securityConfig);
    }
}

确保这段配置在Spring应用上下文初始化前执行（比如通过静态代码块或ApplicationListener触发）。

3. 验证与适配 #

• 检查提供者加载：通过Security.getProviders()确认BCFIPS已被加载，日志中可查看加密/签名操作的提供者信息。
• 禁用非合规算法：排查代码中是否使用MD5、DES等FIPS禁止的算法，确保所有SAML操作仅使用合规算法。
• 核心流程测试：重点验证SSO登录、断言解析、签名验证等核心流程，避免OpenSAML部分扩展功能依赖非FIPS API导致异常。

内容的提问来源于stack exchange，提问作者peterdolannola