Spring Boot 3.1.4下SAML2结合负载均衡的配置问题咨询

核心结论 #

不需要为两台后端服务器分别配置spring.security.saml2.relyingparty.registration.sp.acs.location，统一配置负载均衡器的公网访问地址即可。填了没生效大概率是负载均衡或后端的请求转发配置有问题，按以下步骤排查：

排查与解决步骤 #

1. 校验负载均衡转发规则 #

• 确保负载均衡器将SAML回调请求（对应ACS路径，比如/login/saml2/sso/[registration-id]）原样转发到后端，不能随意修改Host、X-Forwarded-*这类请求头；如果负载均衡做了SSL终止（HTTPS转HTTP到后端），必须强制转发X-Forwarded-Proto: https、X-Forwarded-Host: [你的负载均衡域名]、X-Forwarded-Port: 443这几个头。
• 检查负载均衡是否对回调路径做了特殊路由限制，比如拦截、重定向，这类操作会导致SAML断言验证失败。

2. 配置Spring Boot识别转发头 #

在application.yml或application.properties中添加以下配置，让Spring Security正确识别负载均衡转发的真实外部请求地址：

server:
  forward-headers-strategy: framework
  tomcat:
    remoteip:
      remote-ip-header: X-Forwarded-For
      protocol-header: X-Forwarded-Proto

或properties格式：

server.forward-headers-strategy=framework
server.tomcat.remoteip.remote-ip-header=X-Forwarded-For
server.tomcat.remoteip.protocol-header=X-Forwarded-Proto

Spring Boot 3.x默认不会自动处理转发头，这一步是核心——如果跳过，后端会用自身内部地址生成SAML元数据，导致IDP回调时地址不匹配。

3. 验证SAML元数据正确性 #

访问后端的元数据地址（比如/saml2/service-provider-metadata/[registration-id]），检查其中AssertionConsumerService字段的地址是否为负载均衡的公网地址，而非后端内部地址。如果仍是内部地址，说明转发头配置未生效，回到步骤2重新校验。

4. 同步IDP端配置 #

• 确保IDP侧配置的ACS地址与负载均衡地址完全一致，包括协议、域名、路径，不能有拼写错误。
• 部分IDP会缓存元数据，修改后需要重新导入或刷新缓存。

5. 日志定位问题 #

开启Spring Security SAML的DEBUG日志，查看回调请求的处理细节，对比IDP发送的断言地址与后端实际接收的地址：

logging:
  level:
    org.springframework.security.saml2: DEBUG

从日志中可以直接定位地址不匹配、断言验证失败的具体原因。

内容的提问来源于stack exchange，提问作者supernicky