Spring Boot集成Azure AD SAML替换LDAP遇访问禁止问题求助

1. 先排查403禁止错误的核心原因 #

• 确认原有LDAP配置完全失效：要么给旧的SecurityConfiguration类加@Conditional注解禁用，要么直接删除，避免和SAML配置类的过滤器链冲突。
• 调整SAML过滤器链优先级：给SAML相关配置类（如SamlWebSecurityConfiguration）添加@Order(1)，确保它优先于其他自定义安全配置处理请求。
• 放行Vaadin内部端点：Vaadin有大量内部路径（如/VAADIN/**、/flow/**、/frontend/**、/webjars/**），必须在SAML安全配置中明确放行，否则会被拦截导致403。示例配置：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http
          .authorizeRequests()
              .antMatchers("/VAADIN/**", "/flow/**", "/frontend/**", "/webjars/**", "/icons/**", "/manifest.json").permitAll()
              .anyRequest().authenticated()
          .and()
          .apply(saml())
          .serviceProvider()
              // 你的SP配置
              .and()
          .identityProvider()
              // 你的IdP配置
  }
  

2. 配置Azure AD SAML关键参数 #

• saml.discovery.url：填写Azure AD的SAML登录端点，格式通常为https://login.microsoftonline.com/{你的租户ID}/saml2。
• saml.discovery.entity-id：填写Azure AD应用注册里的“实体ID”，一般是应用的标识符URI（比如https://你的应用域名/saml/metadata）。
• SamlProviderProvisioning<ServiceProviderService>配置：手动配置SP元数据，确保断言消费者服务（ACS）URL和Azure门户中配置的完全一致（比如https://你的应用域名/login/saml2/sso/azure）。示例代码：

  @Bean
  public SamlProviderProvisioning<ServiceProviderService> serviceProviderProvisioning() {
      return providerManager -> {
          ServiceProviderService serviceProvider = providerManager.getServiceProvider();
          serviceProvider.setEntityId("你的SP实体ID");
          serviceProvider.setAssertionConsumerServiceLocation("https://你的应用域名/login/saml2/sso/azure");
          serviceProvider.setWantAssertionsSigned(true);
          // 按需配置签名、加密等其他SP参数
          return serviceProvider;
      };
  }
  

3. 实现任意端点自动重定向到微软登录页 #

• 确保安全配置中设置anyRequest().authenticated()：所有未放行的端点都会触发认证流程。
• 配置SAML认证入口与自动跳转：通过authenticationEntryPoint指定未认证时的跳转逻辑，同时配置默认IdP。示例代码：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http
          .authorizeRequests()
              // 放行Vaadin内部路径
              .antMatchers("/VAADIN/**", ...).permitAll()
              .anyRequest().authenticated()
          .and()
          .exceptionHandling()
              .authenticationEntryPoint(samlAuthenticationEntryPoint())
          .and()
          .apply(saml())
          .serviceProvider()
              .defaultSuccessURL("/") // 登录成功后跳转首页
              .and()
          .identityProvider()
              .addIdentityProvider()
              .entityId("Azure AD的实体ID")
              .ssoUrl("https://login.microsoftonline.com/{你的租户ID}/saml2")
              .verificationKeys(azureAdPublicKey) // Azure AD公钥，用于验证断言
              .and()
  }
  

• Vaadin路由适配：如果使用Vaadin导航路由，需确保所有视图请求经过Spring Security过滤器链。旧版可使用VaadinWebSecurityConfigurerAdapter，新版则通过VaadinSecurityFilterChain整合，避免路由绕过认证。

4. 核对元数据与Azure AD门户配置一致性 #

• 导出SP元数据：访问应用的/saml/metadata端点获取XML，上传到Azure AD门户的“SAML签名证书”区域。
• 校验断言属性：确保Azure AD返回的用户属性（如nameID、email）和你的Spring Security用户实体字段匹配，避免因用户信息解析失败导致认证后403。

内容的提问来源于stack exchange，提问作者The_new_coder