Spring Boot 2.6升级2.7后出现SAML InResponseTo属性不匹配认证错误

针对Spring Boot从2.6.x升级到2.7.x后，搭配simpleSAMLphp 1.18.8作为IDP出现的「登录报错→返回上一页登录成功」的异常问题，以下是具体的排查方向和解决方案：

1. 适配Spring Security 5.7的SAML2请求存储变化 #

Spring Boot 2.7对应Spring Security 5.7版本，其中SAML2的请求跟踪机制有调整，默认的SAML2AuthenticationRequestRepository实现可能导致请求ID未被正确存储/检索，触发InResponseTo不匹配异常。

解决方式：显式配置基于HttpSession的请求存储仓库，确保请求ID能被正确匹配：

@Bean
public SAML2AuthenticationRequestRepository<HttpSessionSAML2AuthenticationRequest> saml2AuthenticationRequestRepository() {
    return new HttpSessionSAML2AuthenticationRequestRepository();
}

如果使用Spring Session，需确保会话存储配置正确，避免请求ID丢失。

2. 严格校验SP与IDP的回调URL一致性 #

虽然旧版本正常，但Spring Security 5.7对ACS（Assertion Consumer Service）URL的校验更严格：

• 确认SP配置的ACS URL与IDP中记录的完全一致，包括协议（http/https）、域名、端口（比如本地环境的http://localhost:8080/saml2/authenticate/{registrationId}）
• 检查RelayState参数的传递逻辑，返回上一页时RelayState可能保留了有效请求上下文，这也是返回后能正常登录的原因之一。

3. 调整Cookie SameSite配置适配跨域场景 #

Spring Boot 2.7默认的Cookie SameSite属性为Lax，而IDP部署在host.docker.internal属于跨域场景，可能导致会话Cookie无法正确传递：

@Bean
public CookieSerializer cookieSerializer() {
    DefaultCookieSerializer serializer = new DefaultCookieSerializer();
    serializer.setSameSite("None");
    serializer.setUseSecureCookie(false); // 开发环境http下禁用，生产环境必须开启HTTPS并设为true
    return serializer;
}

注意：浏览器仅允许HTTPS环境下使用SameSite=None，开发环境若用http，可暂时将SameSite设为Lax或关闭该属性校验。

4. 开启DEBUG日志跟踪请求ID流转 #

通过日志排查请求ID的存储与匹配过程，添加以下配置：

logging.level.org.springframework.security.saml2=DEBUG
logging.level.org.springframework.security.web.savedrequest=DEBUG

重点查看：

• 请求发起时ID是否被存储到HttpSession
• IDP返回响应的InResponseTo值是否与存储的请求ID一致

5. 检查IDP端的响应逻辑 #

登录simpleSAMLphp后台查看日志，确认：

• IDP收到的请求ID与返回响应中的InResponseTo属性是否匹配
• IDP是否存在请求ID缓存或重复使用的情况

内容的提问来源于stack exchange，提问作者RoninTDK