WSO2 Identity Server SAML 2.0单点登录示例场景认证请求处理错误排查

• 排查SAML请求的具体错误原因
  开启WSO2 IS的SAML调试日志，在<IS_HOME>/repository/conf/log4j2.properties中添加或修改以下配置：

  logger.saml.name = org.opensaml
  logger.saml.level = DEBUG
  logger.saml.additivity = false
  logger.saml.appenderRef.CARBON_CONSOLE.ref = CARBON_CONSOLE
  

  重启IS后重新触发登录请求，查看控制台日志里的详细异常信息——大概率是请求签名验证失败、ACS URL不匹配这类具体问题。

• 核对服务提供商(SP)配置细节

  • 确认SP的断言消费者URL(ACS)和WSO2 IS中注册的完全一致，包括http/https协议、域名、端口、路径，连大小写都不能出错。
  • 检查SP的实体ID是否和IS里的配置完全匹配，这一项是大小写敏感的。
  • 如果SP开启了请求签名，确保IS里配置的SP公钥正确，且SP确实用对应的私钥给请求签名了。

• 验证身份提供商(IdP)配置

  • 确认SP端已经正确导入IS的IdP元数据，或者手动配置的IdP实体ID、登录请求端点等信息完全准确。
  • 如果IS开启了请求签名验证，检查SP是否正确配置了签名密钥，且IS已经将SP的公钥导入信任存储。

• 清除浏览器缓存和会话
  浏览器可能存储了旧的无效SAML会话或缓存请求，清空所有缓存、Cookie后再尝试登录。

• 同步服务器时间
  SAML依赖时间戳做验证，SP服务器和WSO2 IS服务器的系统时间差不能过大（默认容忍5分钟），确保两台机器时间同步。

• 检查SSL证书有效性
  如果使用HTTPS，确认SP和IS的SSL证书未过期、状态有效，且双方都信任对方的证书（已导入根证书到信任存储）。

内容的提问来源于stack exchange，提问作者manar