反向代理模式下配置SAML认证遇到的问题

你遇到的核心问题是：反向代理配置后，Spring Security SAML自动生成的SP元数据中，AssertionConsumerService的Location属性仍指向后端Wildfly的8080端口内部地址，而Okta发送的SAML响应是指向Apache代理的81端口地址，两者不匹配导致验证失败。

1. 完善Apache反向代理的请求头转发 #

首先要让后端Spring Boot应用识别外部代理的真实请求地址，需要在Apache配置中添加转发头：

ProxyPass           /PORTCAN/api/ http://hostname:8080/contextroot/ timeout=300
ProxyPassReverse    /PORTCAN/api/ http://hostname:8080/contextroot/ timeout=300
# 转发外部请求的协议、主机、端口和前缀信息
RequestHeader set X-Forwarded-Proto "http"
RequestHeader set X-Forwarded-Host "hostname:81"
RequestHeader set X-Forwarded-Port "81"
RequestHeader set X-Forwarded-Prefix "/PORTCAN/api"

然后在Spring Boot的配置文件（application.properties或application.yml）中启用转发头处理：

# Spring Boot 2.2+版本用此配置
server.forward-headers-strategy=NATIVE

# 旧版本Spring Boot用此配置
# server.use-forward-headers=true

这一步会让Spring自动根据转发头生成正确的外部URL，避免元数据使用内部端口。

2. 手动指定SAML SP的回调URL和实体ID #

如果自动识别仍有问题，可在Spring Security配置类中手动配置SP元数据的关键属性，确保与Okta配置完全一致：

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.saml2.provider.service.registration.RelyingPartyRegistration;
import org.springframework.security.saml2.provider.service.registration.RelyingPartyRegistrationRepository;
import org.springframework.security.saml2.provider.service.registration.InMemoryRelyingPartyRegistrationRepository;

@EnableWebSecurity
public class SecurityConfig {

    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .saml2Login(saml2 -> saml2
                .relyingPartyRegistrationRepository(relyingPartyRegistrationRepository())
            );
        return http.build();
    }

    public RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {
        // 手动配置SP的实体ID和回调地址，与Okta配置完全匹配
        RelyingPartyRegistration registration = RelyingPartyRegistration.withRegistrationId("okta-saml")
            // 对应Okta中的受众限制（Audience Restriction）
            .entityId("http://hostname:81/PORTCAN/api/saml2/service-provider-metadata/okta-saml")
            // 对应Okta中的单点登录URL、接收URL、目标URL
            .assertionConsumerServiceLocation("http://hostname:81/PORTCAN/api/login/saml2/sso/okta-saml")
            // 配置Okta的IDP信息（替换为你的Okta实际值）
            .idpEntityId("https://your-okta-domain.com/exkxxxxxxxxx/sso/saml")
            .idpWebSsoUrl("https://your-okta-domain.com/exkxxxxxxxxx/sso/saml")
            .idpCertificateLocation("classpath:okta-cert.cer")
            .build();
        return new InMemoryRelyingPartyRegistrationRepository(registration);
    }
}

3. 验证Okta配置一致性 #

确保Okta端的以下配置与上述SP配置完全一致：

• 单点登录URL、接收URL、目标URL：http://hostname:81/PORTCAN/api/login/saml2/sso/okta-saml
• 受众限制（Audience Restriction）：http://hostname:81/PORTCAN/api/saml2/service-provider-metadata/okta-saml

4. 验证SP元数据 #

访问http://hostname:81/PORTCAN/api/saml2/service-provider-metadata/okta-saml，检查其中AssertionConsumerService节点的Location属性是否为代理后的地址，确认与Okta配置一致。

如果仍有错误，开启Spring Security的DEBUG日志，查看具体验证错误类型（如签名不匹配、受众不匹配等），进一步定位问题。

内容的提问来源于stack exchange，提问作者user3703071