Passport-SAML集成异常：回调端点无法读取原有express-session数据

问题分析 #

核心问题表现为：自有认证系统的会话数据在SAML登录端点可正常读取，但回调端点获取到全新会话，userId、userName等关键属性全部丢失，导致无法关联SAML认证结果与已登录用户账户。

从代码和会话信息来看，问题根源有三点：

• 登录端点中passport.authenticate设置了session: false，阻止passport关联现有会话
• 回调端点未使用passport-saml的认证中间件处理响应，无法匹配发起SAML请求时的原有会话
• express-session的SameSite设置为true（Strict模式），跨站跳转时浏览器会阻止Cookie传递

解决方案 #

1. 移除登录端点的session: false配置 #

session: false会让passport不使用当前会话发起SAML请求，导致IdP回调时无法匹配原有会话。修改登录端点代码：

router.get("/login", function(req, res, next) {
    console.log(req.session);
    passport.authenticate("samlStrategy", {
        successRedirect: '/api/eid-saml',
        failureRedirect: '/api/eid-saml/login'
        // 移除session: false，默认关联现有会话
    })(req, res, next);
});

2. 修改回调端点，用passport-saml处理响应 #

回调端点必须通过passport.authenticate解析SAML响应，才能关联原有会话。修改代码：

router.post("/callback", 
    // 先用passport-saml处理SAML响应，关联会话
    passport.authenticate("samlStrategy", {
        failureRedirect: '/api/eid-saml/login',
        session: true // 明确启用会话关联
    }),
    function(req, res) {
        // 此时req.session已包含原有用户数据 + SAML认证信息
        console.log(req.session);
        res.status(200).send("Authentifiziert!");
    }
);

3. 调整SAML策略回调，合并原有用户数据与SAML Profile #

在策略回调中读取原有会话的用户信息，与SAML返回的Profile合并后存入会话：

const samlStrategy = new Strategy(
    config.passport.saml,
    function (req, profile, done) {
        try {
            // 从现有会话提取已登录用户核心数据
            const mergedUser = {
                userId: req.session.userId,
                userName: req.session.userName,
                isAuthenticated: req.session.isAuthenticated,
                samlProfile: profile // 新增SAML认证相关信息
            };
            // 将合并后的数据同步到会话
            return done(null, mergedUser);
        } catch(error) {
            return done(null, false, "ErrorMessage:" + error);
        }
    }
);

4. 优化express-session的Cookie设置 #

SAML流程涉及跨站跳转（从你的站点到IdP再返回），需调整SameSite属性确保Cookie正常传递：

app.use(session({
    secret: 'your-strong-secret-key',
    resave: false,
    saveUninitialized: false,
    cookie: {
        httpOnly: true,
        secure: process.env.NODE_ENV === 'production', // 生产环境强制HTTPS
        sameSite: 'Lax', // 允许跨站跳转时传递Cookie，Strict会阻止
        maxAge: 3600000
    }
}));

注意：如果站点使用HTTPS，也可设置sameSite: 'None'，但必须同时开启secure: true，否则浏览器会拒绝该Cookie。

验证逻辑 #

修改完成后，流程变为：

1. 用户通过自有系统登录，会话存入userId、userName等数据
2. 访问SAML登录端点，passport关联现有会话，生成SAML请求并跳转至IdP
3. IdP验证完成后跳转回回调端点，passport通过会话ID匹配原有会话
4. 策略回调合并原有用户数据与SAML Profile，更新会话
5. 回调端点可读取完整会话数据，关联SAML认证与原有账户

内容的提问来源于stack exchange，提问作者winkloid