如何在pac4j-saml中禁用会话存储并规避SessionFactory报错？

核心问题 #

禁用会话后，SAML认证流程中DefaultLogoutHandler仍会尝试通过SessionStore获取会话ID，但此时Jetty已关闭SessionManager，导致抛出IllegalStateException: No SessionManager。

方法1：禁用SAML单点注销（SLO） #

如果你的场景不需要单点注销功能，直接关闭SLO即可避免触发会话记录逻辑：

// 初始化SAML配置
SAML2Configuration samlConfig = new SAML2Configuration();
// 关闭单点注销
samlConfig.setSingleLogoutEnabled(false);

// 创建SAML客户端并绑定配置
SAML2Client samlClient = new SAML2Client(samlConfig);

方法2：自定义无操作LogoutHandler #

若需要保留SLO但不记录会话，实现一个空逻辑的LogoutHandler替换默认实现：

public class NoSessionLogoutHandler implements LogoutHandler {
    @Override
    public void recordSession(WebContext context, SessionStore sessionStore, String key) {
        // 不执行任何会话记录操作
    }

    @Override
    public void destroySession(WebContext context, SessionStore sessionStore, String key) {
        // 不执行任何会话销毁操作
    }
}

然后绑定到SAML客户端：

SAML2Client samlClient = new SAML2Client();
samlClient.setLogoutHandler(new NoSessionLogoutHandler());

方法3：配置无会话SessionStore #

实现一个不依赖HttpSession的SessionStore，避免尝试获取不存在的会话：

public class NoOpSessionStore implements SessionStore {
    @Override
    public String getSessionId(WebContext context, boolean createSession) {
        return null;
    }

    @Override
    public Object get(WebContext context, String key) {
        return null;
    }

    @Override
    public void set(WebContext context, String key, Object value) {
        // 空实现，不存储任何内容
    }

    @Override
    public void destroySession(WebContext context) {
        // 空实现
    }

    @Override
    public Optional<String> getTrackableSessionId(WebContext context) {
        return Optional.empty();
    }

    @Override
    public void renewSession(WebContext context) {
        // 空实现
    }
}

然后在pac4j全局配置中设置：

Config pac4jConfig = new Config(samlClient);
pac4jConfig.setSessionStore(new NoOpSessionStore());

方法4：确认Dropwizard完全禁用会话 #

确保Dropwizard服务器层面也关闭会话支持，在config.yaml中添加：

server:
  session:
    enabled: false

内容的提问来源于stack exchange，提问作者Mustafa Shabib