使用auth_mellon配置SAML认证遇Lasso [-205] XML解析错误求助

问题描述 #

使用auth_mellon模块配置网站SAML认证时，遇到以下问题：

• 加载IDP提供的元数据XML文件时，Apache日志抛出错误：

[Tue Jan 31 15:17:58.713662 2023] [auth_mellon:error] [pid 9005] [client 192.168.1.34:45544] Error adding metadata "/etc/httpd/saml2/idp_metadata.xml" to lasso server objects. Lasso error: [-205] Parsed XML is invalid.

• 替换其他公开的Mellon元数据XML文件后仍报相同错误
• 无法访问fqdn.com/mellon/metadata地址

解决思路 #

• 验证XML文件合法性
  使用xmllint命令行工具检查元数据文件的语法正确性：

  xmllint --noout /etc/httpd/saml2/idp_metadata.xml
  

  若输出语法错误提示，根据提示修复；若文件由AD部门提供，直接反馈给他们修正。

• 检查文件权限与SELinux上下文

  • 确保Apache进程对元数据目录及文件有读权限：

    chown -R apache:apache /etc/httpd/saml2/
    chmod -R 640 /etc/httpd/saml2/
    

  • 修复SELinux上下文（若存在权限拦截）：

    restorecon -Rv /etc/httpd/saml2/
    

• 校验auth_mellon配置准确性
  检查Apache配置文件中的auth_mellon指令：

  • 确认MellonSPMetadataFile、MellonIdPMetadataFile指向的文件路径完全正确（Linux系统区分大小写）
  • 排查配置中是否存在拼写错误或格式错误

• 更新Lasso与auth_mellon版本
  旧版本Lasso库可能存在SAML元数据格式兼容性问题，更新到最新稳定版：

  # RHEL/CentOS系统示例
  yum update mod_auth_mellon lasso
  

  更新完成后重启Apache服务：

  systemctl restart httpd
  

• 测试基础配置有效性
  先跳过IDP元数据，单独验证SP端配置：

  • 确保Apache配置中已添加MellonEnable info或MellonEnable auth指令
  • 检查mod_auth_mellon模块是否正常加载：

    httpd -M | grep auth_mellon
    

    若未加载，需确认模块已安装，并在配置中添加LoadModule auth_mellon_module modules/mod_auth_mellon.so

内容的提问来源于stack exchange，提问作者Ise