基于Spring Security SAML2搭建身份提供商的依赖选型咨询

核心依赖适用场景分析 #

• org.springframework.security:spring-security-saml2-service-provider：这是Spring官方维护的SAML2核心依赖，但它只支持服务提供商（SP）端开发，完全没有IDP相关的实现能力，没法用它搭建IDP。
• org.springframework.security.extensions:spring-security-saml:1.0.10.RELEASE：属于停止维护的旧版SAML组件，虽然能勉强实现IDP，但存在安全漏洞、兼容性差等问题，绝对不推荐在生产环境使用。
• org.springframework.security.extensions:spring-security-saml2-core:2.0.0.M31：这是Spring Extensions下的早期SAML2 Milestone版本，早已停止维护，IDP相关的API不完善，配套文档也极少，同样不适合用来搭建IDP。

IDP实现的可行方案 #

Spring官方目前没有原生支持SAML2 IDP的实现，如果你要基于Spring生态搭建IDP，可以参考这两个方向：

• 基于Spring Security的基础认证框架（比如OAuth2、JWT），自行扩展实现SAML2协议的核心逻辑，包括元数据生成、断言签名、响应处理等。
• 集成第三方成熟的SAML2工具库（比如OpenSAML），它提供了完整的SAML2协议处理能力，结合Spring Security可以快速搭建自定义IDP。

文档偏向SP的原因 #

在SAML2的实际落地场景中，企业大多会选择使用成熟的第三方IDP（比如Okta、AD FS），自行搭建IDP的需求相对较少，所以官方和社区的文档自然会更侧重服务提供商（SP）端的配置与实现。

内容的提问来源于stack exchange，提问作者user22993862