如何修复Heroku环境下Django应用的SAML认证问题（本地正常）

问题背景 #

我有一个基于Django的应用，通过SAML认证实现.edu用户登录。升级依赖后确定了Python 3.10兼容的版本，requirements.txt中SAML相关依赖如下：

python3-saml==1.15.0
xmlsec==1.3.13
isodate==0.6.1
six==1.11.0
lxml==4.9.2 

本地环境SAML认证功能正常，但部署到Heroku Dev环境后频繁出现错误：

SAML Response not found, Only supported HTTP_POST Binding

通过SAML tracer检查登录POST数据，Summary标签页显示证书/密钥值正常。直接访问https://<你的heroku域名>/account/?acs时也会触发相同错误：

OneLogin_Saml2_Error at /account/
SAML Response not found, Only supported HTTP_POST Binding

另外发现.edu用户偶尔能成功登录。

排查与解决步骤 #

1. 修复Heroku请求转发配置 #

Heroku路由层的反向代理会修改请求头，若Django未正确识别，可能导致POST数据处理异常：

• 在settings.py中添加以下配置，让Django信任Heroku的转发头：

  SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
  USE_X_FORWARDED_HOST = True
  USE_X_FORWARDED_PORT = True
  

• 排查是否有自定义中间件拦截或修改了POST请求体，可临时禁用非必要中间件验证。

2. 验证SAML ACS端点绑定配置 #

确保断言消费者服务（ACS）端点仅支持HTTP_POST绑定：

• 在SAML配置文件（如saml_settings.json）中，确认ACS的binding字段设置为urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST，移除其他绑定类型配置。
• 核对IDP（.edu认证系统）侧的ACS端点配置，确保与Heroku应用地址完全一致，包括HTTPS协议、路径是否带尾斜杠等细节。

3. 调整WSGI服务器参数避免POST数据截断 #

Heroku上的WSGI服务器（如Gunicorn）参数设置过小可能导致SAML响应数据被截断：

• 修改Procfile中的Gunicorn启动命令，增大请求行和字段大小限制：

  web: gunicorn your_project.wsgi --limit-request-line 8192 --limit-request-field_size 8192
  

• 在ACS视图中添加调试代码，打印POST数据确认是否包含SAMLResponse字段：

  def acs_view(request):
      # 调试用：打印POST内容到Heroku日志
      print("Received POST data keys:", list(request.POST.keys()))
      # 原有SAML认证逻辑
      ...
  

  若日志中看不到SAMLResponse，说明POST数据未到达应用，需排查前端提交或Heroku路由问题。

4. 解决会话与缓存异常 #

偶尔成功的现象通常与会话或缓存不稳定有关：

• 检查Heroku上的会话存储配置：若使用数据库会话，确认数据库连接正常；若使用Redis缓存会话，验证Redis实例连接状态。
• 清除应用缓存（运行heroku run python manage.py clearcache）和用户浏览器缓存，避免旧请求数据干扰。
• 联系IDP管理员确认是否存在会话超时或重试机制，导致部分请求能正常传递数据。

5. 排查依赖包与系统环境兼容性 #

• 尝试升级python3-saml到最新兼容Python 3.10的版本（如2.x系列，注意适配API变化），或降级到之前稳定版本，排除版本适配问题。
• 确认Heroku已安装xmlsec依赖的系统库：使用heroku-buildpack-apt构建包，在Aptfile中添加libxmlsec1-dev，确保xmlsec能正常运行。

内容的提问来源于stack exchange，提问作者Simran Makandar