Spring Boot 3.1.0集成OKTA SAML 2.0认证陷入无限循环求助

问题核心 #

你的问题根源在于SAML响应未被Spring Security正确处理，导致认证状态无法存入SecurityContext，同时配置参数错误触发无限循环：

1. 断言方（OKTA）的SSO地址配置错误
2. ACS（断言消费者服务）端点未与Spring Security的SAML处理逻辑绑定
3. 不必要的自定义AuthenticationManager干扰了默认认证流程

修复步骤 #

1. 修正RelyingPartyRegistration配置 #

将断言方的singleSignOnServiceLocation替换为OKTA提供的官方SSO地址（可在OKTA应用的SAML配置页面获取，格式类似https://your-okta-domain.com/app/your-okta-app-id/sso/saml），同时确保ACS地址与OKTA配置完全一致：

@Bean
RelyingPartyRegistrationRepository repository() {
    RelyingPartyRegistration registration = RelyingPartyRegistration
            .withRegistrationId("regID")
            // 与OKTA配置的ACS地址完全匹配
            .assertionConsumerServiceLocation("https://sp-url/sso/saml")
            .assertingPartyDetails(party -> party
                    .entityId("http://www.okta.com/regID") // OKTA应用的Entity ID
                    // 替换为OKTA提供的SSO地址
                    .singleSignOnServiceLocation("https://your-okta-domain.com/app/your-okta-app-id/sso/saml")
                    .singleSignOnServiceBinding(Saml2MessageBinding.POST)
                    .wantAuthnRequestsSigned(false)
                    .signingAlgorithms(sign -> sign.add(SignatureConstants.ALGO_ID_SIGNATURE_RSA_SHA256)))
            .build();
    return new InMemoryRelyingPartyRegistrationRepository(registration);
}

2. 调整SecurityFilterChain配置 #

移除自定义的ProviderManager，使用Spring Security默认认证流程；确保ACS端点被SAML过滤器正确处理，修正授权规则避免循环：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    RelyingPartyRegistrationResolver relyingPartyRegistrationResolver = 
            new DefaultRelyingPartyRegistrationResolver(this.repository());

    Saml2MetadataFilter metadataFilter = new Saml2MetadataFilter(
            relyingPartyRegistrationResolver, 
            new OpenSamlMetadataResolver());

    http.csrf(csrf -> csrf.disable())
        // 绑定ACS端点与SAML登录逻辑
        .saml2Login(saml2 -> saml2
                .assertionConsumerServiceEndpoint(endpoint -> endpoint
                        .baseUri("/sso/saml") // 与RelyingPartyRegistration中的ACS地址匹配
                        .registrationId("regID")))
        .addFilterBefore(metadataFilter, Saml2WebSsoAuthenticationFilter.class)
        .authorizeHttpRequests(authorize -> authorize
                // 允许ACS、元数据、图标路径访问
                .requestMatchers("/sso/saml", "/saml2/metadata/**", "/favicon.ico").permitAll()
                // 其余请求需认证
                .anyRequest().authenticated())
        .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)); // 使用默认会话策略即可

    return http.build();
}

3. 调整控制器逻辑 #

将控制器映射到认证成功后的跳转路径（而非ACS端点），此时SecurityContext已正确填充认证信息：

// 可通过saml2Login().defaultSuccessUrl("/home")指定自定义跳转路径
@RequestMapping("/home")
public String home(@AuthenticationPrincipal Saml2AuthenticatedPrincipal principal, Model model) {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    System.out.println("authentication: " + authentication);
    System.out.println("principal: " + principal);
    return "home";
}

4. 验证OKTA配置一致性 #

确保OKTA应用的SAML配置中：

• Single sign-on URL与你的assertionConsumerServiceLocation完全一致（https://sp-url/sso/saml）
• **Audience URI (SP Entity ID)**与你的应用Entity ID匹配（默认路径为https://sp-url/saml2/service-provider-metadata/regID，可在RelyingPartyRegistration中用entityId()自定义）
• Name ID format设置为EmailAddress或OKTA支持的格式，确保断言包含有效用户标识

关键注意事项 #

• ACS端点必须由Spring Security的Saml2WebSsoAuthenticationFilter处理，不能绑定业务控制器，否则无法完成认证状态持久化
• 自定义AuthenticationManager仅在需要自定义断言验证逻辑时使用，默认配置已适配OKTA的SAML响应
• 无限循环通常由认证失败后的重复重定向引发，可开启Spring Security debug日志（logging.level.org.springframework.security=DEBUG）排查断言验证、会话存储等环节的错误

内容的提问来源于stack exchange，提问作者Alok