Keycloak SameSite配置与SAML兼容性及渗透测试问题咨询

1. 是否可将SameSite从None改为Lax且不影响IDP功能？若可以，如何操作？ #

能否修改取决于你的SAML部署场景：

• 如果SAML流程仅使用Redirect绑定（GET请求），改为Lax完全不影响IDP功能——Lax允许跨域GET请求携带Cookie，完全适配Redirect绑定的交互逻辑。
• 如果使用POST绑定（跨域POST请求），改为Lax会导致浏览器拦截会话Cookie，直接中断SAML登录流程，这种场景下不能修改。

操作步骤（分部署版本）： #

• Quarkus版Keycloak：在keycloak.conf配置文件中添加一行配置：

  spi-session-cookie-same-site=Lax
  

• WildFly/JBoss版Keycloak：在standalone.xml或domain.xml中找到<spi name="session-cookie">节点，修改默认provider的属性：

  <spi name="session-cookie">
    <provider name="default" enabled="true">
      <properties>
        <property name="sameSite" value="Lax"/>
      </properties>
    </provider>
  </spi>
  

修改后重启Keycloak，务必测试SAML登录流程和用户信息修改功能，确认无异常。

2. SAML通信中是否有使用SameSite=None的标准规范？ #

SAML官方标准里没有强制要求使用SameSite=None，这是适配浏览器Cookie安全政策的实践方案：

• 当SAML使用跨域POST绑定时，浏览器默认会拦截SameSite=Lax/Strict的Cookie，导致Keycloak无法识别用户会话，因此需要设置SameSite=None来允许跨域POST携带Cookie。
• 若仅使用Redirect绑定（跨域GET），Lax即可满足要求，无需设置None。

简言之，SameSite=None是应对浏览器政策的适配手段，而非SAML标准的一部分。

3. 渗透测试要求Cookie设置SameSite=Lax，但Keycloak无相关自定义选项，是否所有IDP系统均使用SameSite=None？ #

首先，Keycloak是支持自定义SameSite属性的，只是不同部署版本的配置位置不同（参考问题1的操作步骤），可能是你未找到对应配置项。

其次，并非所有IDP都使用SameSite=None：

• 如果IDP仅支持SAML Redirect绑定，使用SameSite=Lax完全可行，不会影响功能。
• 只有当IDP需要支持跨域POST绑定时，才必须设置SameSite=None。

如果当前Keycloak版本确实无相关配置项，可考虑升级到Keycloak 12+版本（该版本已支持该配置），或通过反向代理（如Nginx）在响应中修改Cookie的SameSite属性，但这种方式需注意兼容性，避免破坏正常的SAML流程。

内容的提问来源于stack exchange，提问作者Selvakumar Ponnusamy