Spring Boot集成Okta SAML2.0遇混合内容问题求解决方案

问题回顾 #

集成Okta SAML2.0时先后遇到两个问题：

1. Invalid Destination错误：日志显示Destination是HTTPS地址，但assertionConsumerServiceLocation为HTTP，二者不匹配
2. 混合内容错误：页面通过HTTPS加载，但请求/saml2/authenticate/okta时用了HTTP协议，被浏览器拦截

核心原因 #

这两个问题的根源都是Spring Security未正确识别外部的HTTPS请求——多数场景下应用部署在反向代理/负载均衡后方，应用自身以HTTP运行，导致Spring生成的跳转地址、ACS地址默认用HTTP协议，和Okta的HTTPS配置冲突。

解决步骤 #

1. 配置Spring Boot识别反向代理的HTTPS请求头 #

在application.yml或application.properties中添加以下配置，让Spring从反向代理的请求头获取真实协议：

application.yml示例：

server:
  forward-headers-strategy: FRAMEWORK
  tomcat:
    remoteip:
      remote-ip-header: X-Forwarded-For
      protocol-header: X-Forwarded-Proto

application.properties示例：

server.forward-headers-strategy=FRAMEWORK
server.tomcat.remoteip.remote-ip-header=X-Forwarded-For
server.tomcat.remoteip.protocol-header=X-Forwarded-Proto

注意：确保你的反向代理（如Nginx、AWS ALB）已正确设置X-Forwarded-Proto: https请求头。

2. 统一配置SAML2的HTTPS地址 #

在配置文件中明确指定HTTPS的entityId和acs.location，确保和Okta后台配置完全一致：

spring:
  security:
    saml2:
      relyingparty:
        registration:
          okta:
            entity-id: "https://你的应用域名/saml2/service-provider-metadata/okta"
            assertion-consumer-service:
              location: "https://你的应用域名/login/saml2/sso/okta"
            idp:
              entity-id: "https://你的Okta域名/app/你的应用ID/sso/saml/metadata"
              metadata-uri: "https://你的Okta域名/app/你的应用ID/sso/saml/metadata"

3. 同步Okta后台配置 #

登录Okta管理后台，进入你的应用的Single Sign-On Settings：

• 确认Assertion Consumer Service URL与Spring配置的acs.location完全一致（必须是HTTPS地址）
• 确认Destination字段也设置为该HTTPS地址

4. 依赖检查（版本兼容确认） #

你的依赖配置已正确引入所需组件，无需额外调整：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-saml2-service-provider</artifactId>
</dependency>
<dependency>
    <groupId>org.opensaml</groupId>
    <artifactId>opensaml-core</artifactId>
    <version>4.3.0</version>
</dependency>
<dependency>
    <groupId>org.opensaml</groupId>
    <artifactId>opensaml-saml-api</artifactId>
    <version>4.3.0</version>
</dependency>
<dependency>
    <groupId>org.opensaml</groupId>
    <artifactId>opensaml-saml-impl</artifactId>
    <version>4.3.0</version>
</dependency>

内容的提问来源于stack exchange，提问作者Dinesh