如何强制Apache mod_auth_mellon校验SAML Response签名？

你遇到的问题根源在于：SP元数据中的WantAssertionsSigned="true"只是告知IdP需要签名断言，但mod_auth_mellon本身并不会自动强制校验签名，必须通过Apache配置指令明确开启校验规则。

以下是具体的解决步骤：

• 强制开启断言签名校验
  在你的Apache配置中（通常是对应受保护路径的<Location>块内）添加以下指令：

  MellonRequireSignedAssertions On
  

  这个指令会让mod_auth_mellon直接拒绝任何未签名的SAML断言，无签名的请求将无法通过认证。

• 确认IdP元数据的正确性
  检查MellonIdPMetadataFile指向的IdP元数据文件，确保其中包含IdP的有效公钥（通常在<KeyDescriptor use="signing">节点下）。Mellon依赖这个公钥来验证签名的合法性，公钥缺失或错误会导致校验失效。

• 验证配置生效与日志排查
  添加配置后重启Apache服务，之后尝试发送无签名的SAML响应，此时应该会被拒绝。可以查看Apache的错误日志（如/var/log/apache2/error.log），签名校验失败的请求会生成对应的错误记录，帮助你确认规则是否生效。

• 检查mod_auth_mellon版本
  部分旧版本的mod_auth_mellon对MellonRequireSignedAssertions指令的支持可能存在问题，建议使用较新的稳定版本。可以通过apache2ctl -M | grep mellon确认模块已加载，再核实模块版本的兼容性。

内容的提问来源于stack exchange，提问作者ThemThem