NemIdLogin重定向至AssertionConsumerService出现302转405错误排查

核心问题定位 #

你遇到的405错误本质是NemIdLogin服务仍在使用旧的ACS端点配置，导致它用GET请求（对应localhost时期的配置逻辑）访问新的ACS地址，但新地址的服务器仅接受POST请求，因此触发方法不允许错误。大概率是NemId管理门户的元数据缓存未及时刷新。

分步排查与解决 #

• 强制刷新元数据缓存：
  不要仅覆盖上传修改后的元数据，尝试以下操作：
  1. 先删除当前已上传的SP元数据，等待10-15分钟（给后台缓存清理留足时间），再重新上传修正后的完整元文件
  2. 若管理门户提供相关功能，手动触发「元数据同步」或「刷新配置」按钮（部分SSO后台会隐藏这类入口，可在设置页仔细查找）
• 验证新元数据的正确性：
  确认新上传的元数据中，AssertionConsumerService的Binding属性为urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST，同时Location字段是正确的目标URL，避免拼写错误或协议（HTTP/HTTPS）不一致
• 排查302重定向细节：
  用抓包工具（如Chrome开发者工具、Fiddler）查看302响应的Location头部，确认跳转目标是旧localhost地址还是新地址：
  • 若为旧地址，直接证实是缓存问题
  • 若为新地址，需检查你的ACS服务器是否在重定向过程中丢失了POST请求方法（比如反向代理或框架的重定向逻辑自动转换为GET）
• 联系NemId官方支持：
  若上述操作无效，直接提交工单给NemId技术支持，明确提供以下信息：
  • 初始错误的localhost配置详情
  • 修改后的正确ACS/SLO URL
  • 抓包获取的302/405请求完整日志
    要求他们手动清理对应SP的配置缓存并重新加载元数据

后续优化建议 #

后续修改SP元数据时，尽量先删除旧配置再上传新文件；若元数据包含validUntil字段，确保其设置为未来有效日期，避免被服务端判定为过期而忽略。

内容的提问来源于stack exchange，提问作者Denis Milovanovic