Spring Boot 2.7移除WebSecurityConfigurerAdapter后SAML认证失败求助

核心配置调整步骤 #

直接用SecurityFilterChain Bean替代原来的WebSecurityConfigurerAdapter，重点要把SAML2的登录、登出流程配置到位：

基础SecurityFilterChain配置 #

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated()
        )
        .saml2Login(saml2 -> saml2
            .loginProcessingUrl("/login/saml2/sso") // 必须和IDP配置的回调URL完全一致
            .userInfoEndpoint(userInfo -> userInfo
                .userAuthoritiesMapper(customUserAuthoritiesMapper()) // 有自定义权限需求就加这个
            )
        )
        .saml2Logout(logout -> logout
            .logoutUrl("/logout/saml2/slo")
            .logoutSuccessUrl("/")
        );
    return http.build();
}

依赖方（SP）注册配置 #

要确保IDP元数据加载正确，SP实体ID和IDP那边的配置匹配：

@Bean
public RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {
    RelyingPartyRegistration registration = RelyingPartyRegistrations
        .fromMetadataLocation("classpath:idp-metadata.xml") // 你的IDP元文件路径
        .registrationId("my-saml-provider")
        .entityId("http://your-sp-domain.com/saml2/service-provider-metadata/my-saml-provider") // SP实体ID
        .build();
    return new InMemoryRelyingPartyRegistrationRepository(registration);
}

常见坑点排查 #

• 元数据不匹配：检查IDP元数据是否完整加载，SP的实体ID必须和IDP配置的受众（Audience）完全一致
• 回调URL错误：IDP里配置的SSO回调地址，要和代码里loginProcessingUrl的路径完全一致，包括http/https、域名、端口，差一点都不行
• 断言验证失败：确认IDP的签名证书已经正确配置到项目里，Spring Security能验证断言的签名；另外检查断言里的NameID格式是否和你配置的兼容
• 权限映射问题：如果自定义了权限转换，确认userAuthoritiesMapper能把SAML断言里的属性正确转成Spring Security的权限对象
• CSRF/CORS问题：如果是前后端分离项目，要么给SAML回调路径配置CSRF豁免，要么确保前端请求带对CSRF令牌（前者要谨慎用）

调试技巧 #

开DEBUG日志看详细流程，能快速定位问题：

logging.level.org.springframework.security.saml2=DEBUG
logging.level.org.springframework.security.web=DEBUG

内容的提问来源于stack exchange，提问作者Karthik K Naik