OpenSAML 3.4.6：AuthnRequest Subject为空无法获取用户名

核心问题是你找错了获取用户信息的对象：你应该从IDP返回的SAML Response（而非SP发送的AuthnRequest）中提取Subject和NameID。

为什么AuthnRequest.getSubject()返回null？ #

AuthnRequest是SP发给IDP的认证请求，默认场景下它不需要包含Subject——这个请求只是告诉IDP“我要发起用户认证”，用户身份信息是IDP完成认证后，通过SAML Response返回给SP的。只有在特殊场景（比如强制指定某个用户重认证）下，才需要在AuthnRequest里主动设置Subject，但这不是SSO的常规流程。

正确的处理步骤 #

当IDP通过POST返回认证结果时，你需要做以下操作：

1. 提取并解码SAML Response参数
   从POST请求中拿到名为SAMLResponse的参数值，先进行Base64解码（部分IDP会用DEFLATE压缩，需要先解压再解码）。
   示例代码（OpenSAML3）：

   String samlResponseStr = request.getParameter("SAMLResponse");
   byte[] decodedBytes = Base64.getDecoder().decode(samlResponseStr);
   // 如果IDP用了DEFLATE压缩，需要先解压
   ByteArrayInputStream bais = new ByteArrayInputStream(decodedBytes);
   InflaterInputStream inflater = new InflaterInputStream(bais, new Inflater(true));
   String uncompressedStr = IOUtils.toString(inflater, StandardCharsets.UTF_8);
   decodedBytes = uncompressedStr.getBytes(StandardCharsets.UTF_8);
   

2. 解析SAML Response对象
   使用OpenSAML3的Unmarshaller将XML字符串解析为Response实例：

   XMLObjectProviderRegistry registry = XMLObjectProviderRegistrySupport.getRegistry();
   UnmarshallerFactory unmarshallerFactory = registry.getUnmarshallerFactory();
   Document doc = DocumentBuilderFactory.newInstance().newDocumentBuilder().parse(new ByteArrayInputStream(decodedBytes));
   Unmarshaller unmarshaller = unmarshallerFactory.getUnmarshaller(doc.getDocumentElement());
   Response response = (Response) unmarshaller.unmarshall(doc.getDocumentElement());
   

3. 验证Response签名（必须步骤）
   为了安全，必须验证IDP返回的Response签名，确保内容未被篡改：

   Signature signature = response.getSignature();
   BasicSecurityConfiguration secConfig = (BasicSecurityConfiguration) Configuration.getGlobalSecurityConfiguration();
   SignatureValidator validator = new SignatureValidator(secConfig.getSignatureTrustEngine());
   validator.validate(signature);
   

4. 提取用户信息
   从Response中获取Assertion，再提取Subject和NameID：

   Assertion assertion = response.getAssertions().get(0); // 通常取第一个Assertion
   Subject subject = assertion.getSubject();
   NameID nameID = (NameID) subject.getNameID();
   String username = nameID.getValue();
   

额外检查项 #

• 确认IDP侧配置：是否已在SP的元数据中配置了需要返回NameID，且NameID格式符合双方约定（比如email、transient等）
• 确认SP元数据是否正确提交给IDP：IDP需要知道SP的实体ID、ACS地址等信息，才能正确返回Response

内容的提问来源于stack exchange，提问作者artragis