Spring Security 6 SAML集成求助：重定向与registrationId配置问题

将应用升级至Spring Boot 3，原WebSecurityConfigurerAdapter已废弃，改用官方Spring Security实现SAML集成。身处企业内网，已持有IDP元数据XML文件，旧SSO功能正常，但新集成遇到问题：

• 添加registrationId后可跳转至IDP，但登录请求被拒绝
• 新实现日志显示请求重定向至http://localhost:8080/myAppname/saml2/authenticate/registrationId，旧实现认证成功后直接返回Vaadin首页（路由""）
• F5日志报错：Error: No SP Connector attached to sso matching authentication request. ... Issuer from the authentication request must match entity_id from DP Connector

疑问：

1. registrationId的具体作用是什么？
2. DefaultRedirectStrategy的运作机制是怎样的？
3. Spring Security SAML中的SP Connector是什么？如何解决当前登录被拒绝的问题？

代码示例：

@EnableWebSecurity
@Configuration
public class SecurityConfiguration{

@Value("${saml.idpURL}")
private String idpMetadata;

@Bean
SecurityFilterChain app (HttpSecurity http) throws Exception{

    http.authorizeHttpRequests ((authorize) -> authorize.anyRequest().authenticated()

)
.saml2Login(Customizer.withDefaults());
return http.build();
}


@Bean
RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {

     RelyingPartyRegistration relyingPartyRegistration =   
RelyingPartyRegistrations.fromMetadataLocation(idpMetadata)
.registrationId("myAppname").build();
  return new InMemoryRelyingPartyRegistrationRepository(relyingPartyRegistration);

 }
} 

1. registrationId的具体作用 #

• 是Spring Security中SAML2依赖方（SP）的唯一标识，用于区分应用对接的多个IDP配置（若有）
• 会默认生成SP的实体ID（Entity ID），规则为urn:spring:security:saml2:sp:<registrationId>，该值会作为认证请求的Issuer发送给IDP
• 同时是SAML相关端点路径的组成部分，比如你看到的/saml2/authenticate/{registrationId}

2. DefaultRedirectStrategy的运作机制 #

• 这是Spring Security默认的重定向处理组件，负责将用户请求跳转至指定URL
• 在SAML2登录流程中，触发认证时，它会根据RelyingPartyRegistration配置的IDP认证端点，将浏览器重定向到IDP登录页
• IDP认证完成后回调SP的断言消费端点（默认/saml2/sso/{registrationId}），之后该组件会将用户重定向到认证前的请求路径，或配置的默认成功页面

3. SP Connector与登录拒绝问题解决 #

什么是SP Connector #

这里的SP Connector是你使用的F5设备上的配置项，对应SAML架构中服务提供者（SP）的配置集合，包含SP的实体ID、断言消费端点、证书等信息，F5依靠这些信息验证SP的认证请求，并向SP发送断言。

解决登录被拒绝的问题 #

根据F5报错，核心问题是认证请求中的Issuer（SP实体ID）与F5上SP Connector配置的entity_id不匹配，解决步骤如下：

1. 统一SP实体ID：
   • 当前代码用registrationId("myAppname")，默认生成的SP实体ID为urn:spring:security:saml2:sp:myAppname
   • 若要和旧实现或F5配置一致，可自定义实体ID，修改代码：

     RelyingPartyRegistration relyingPartyRegistration =   
     RelyingPartyRegistrations.fromMetadataLocation(idpMetadata)
     .registrationId("myAppname")
     .entityId("http://localhost:8080/myAppname") // 替换为F5上配置的entity_id或旧实现的SP实体ID
     .build();
     

2. 同步F5配置：确保F5上SP Connector的entity_id与Spring Security配置的SP实体ID完全一致
3. 配置认证成功跳转：
   若要回到Vaadin首页，可自定义saml2Login的成功处理器：

   http.saml2Login(saml2 -> saml2
       .successHandler((request, response, authentication) -> {
           response.sendRedirect("/myAppname/");
       })
   );
   

4. 校验端点一致性：确认F5上配置的断言消费端点与Spring Security默认的/saml2/sso/{registrationId}一致，或自定义端点路径匹配F5配置

内容的提问来源于stack exchange，提问作者supernicky