Ruby(IDP)与Java(SP)的SAML SSO集成：命名空间兼容问题咨询

你遇到的核心问题是SAML协议命名空间前缀的差异：Java侧SP用saml2p作为协议命名空间前缀，但Ruby侧IDP只识别samlp前缀。下面提供两种可落地的解决思路：

方案一：调整Spring Security SAML DSL，发送samlp前缀的AuthnRequest #

Spring Security SAML默认使用saml2p作为SAML 2.0协议的前缀，我们可以通过自定义消息生成逻辑来修改这一行为：

1. 自定义认证请求解析器，覆盖默认命名空间前缀设置
   创建一个自定义的Saml2AuthnRequestResolver，在生成XML时替换前缀：

   @Bean
   public Saml2AuthnRequestResolver customAuthnRequestResolver(RelyingPartyRegistrationRepository repo) {
       DefaultSaml2AuthnRequestResolver resolver = new DefaultSaml2AuthnRequestResolver(repo);
       resolver.setAuthnRequestMarshaller(new Saml2AuthnRequestMarshaller() {
           @Override
           protected void marshallInternal(Saml2AuthnRequest request, DOMResult result) {
               super.marshallInternal(request, result);
               // 修改根元素前缀为samlp并修正命名空间声明
               Element root = result.getNode().getDocumentElement();
               root.setPrefix("samlp");
               root.setAttributeNS("http://www.w3.org/2000/xmlns/", "xmlns:samlp", "urn:oasis:names:tc:SAML:2.0:protocol");
               
               // 同步调整Issuer元素的前缀为saml
               NodeList issuerNodes = root.getElementsByTagNameNS("urn:oasis:names:tc:SAML:2.0:assertion", "Issuer");
               if (issuerNodes.getLength() > 0) {
                   Element issuer = (Element) issuerNodes.item(0);
                   issuer.setPrefix("saml");
                   issuer.setAttributeNS("http://www.w3.org/2000/xmlns/", "xmlns:saml", "urn:oasis:names:tc:SAML:2.0:assertion");
               }
           }
       });
       return resolver;
   }
   

2. 在SAML配置中注册该解析器
   将自定义的解析器关联到你的RelyingPartyRegistration配置中，确保生成的AuthnRequest完全匹配IDP期望的格式。

方案二：修改Ruby saml_idp，使其兼容saml2p前缀的请求 #

如果不想改动SP端配置，可以调整Ruby IDP的解析逻辑，让它同时支持saml2p前缀：

1. 临时替换XML前缀后再解析
   在IDP处理请求的逻辑中，先将saml2p替换为samlp，再交给ruby-saml解析：

   def parse_authn_request(request_xml)
       # 替换命名空间前缀和声明，适配ruby-saml的默认解析逻辑
       modified_xml = request_xml.gsub('saml2p:', 'samlp:').gsub('xmlns:saml2p=', 'xmlns:samlp=')
       request = OneLogin::RubySaml::Authrequest.new
       request.from_xml(modified_xml)
       request
   end
   

2. 注册saml2p作为协议命名空间的别名
   直接让ruby-saml识别saml2p前缀，无需修改XML内容：

   # 在IDP初始化时注册命名空间别名
   OneLogin::RubySaml::Namespaces.register_prefix('saml2p', OneLogin::RubySaml::Namespaces::SAML2P)
   

   这样ruby-saml就能同时处理samlp和saml2p两种前缀的请求了。

注意：修改gem相关逻辑后，务必在测试环境充分验证，避免破坏其他SAML功能的兼容性。

内容的提问来源于stack exchange，提问作者Shanmugam Sundaram