Zammad SAML配置遇OneLogin指纹不匹配错误求助

可能的原因 #

• 证书文件错误：使用了IdP的私钥文件而非公钥证书（.crt/.pem格式）计算指纹，SAML验证仅依赖IdP公钥的指纹。
• 指纹格式不匹配：OpenSSL生成的指纹默认带冒号分隔，若Zammad配置中填写的是无冒号的指纹（或反之），会导致匹配失败。
• 证书内容不完整：复制公钥时遗漏了-----BEGIN CERTIFICATE-----/-----END CERTIFICATE-----标记，或混入了多余空白行、字符。
• 算法配置不一致：Zammad后台选择的指纹算法（SHA1/SHA256）与你实际计算指纹时使用的算法不匹配。
• IdP证书更新：IdP端已更换新证书，但你未同步更新Zammad中的指纹配置。

开启调试查看指纹计算过程 #

Zammad基于OneLogin::RubySaml库实现SAML验证，可通过添加日志代码查看系统实际计算的指纹：

1. 找到Zammad的SAML配置相关文件，通常路径为/opt/zammad/app/models/setting/saml.rb（根据安装方式可能略有不同）。
2. 在初始化SAML响应的代码块中添加调试日志：

   # 找到初始化OneLogin::RubySaml::Response的代码段，添加以下日志
   response = OneLogin::RubySaml::Response.new(params[:SAMLResponse], settings: saml_settings)
   Rails.logger.info "(saml) Debug: 系统计算的IdP证书SHA256指纹: #{Digest::SHA256.hexdigest(response.cert.to_der).upcase.scan(/../).join(':')}"
   Rails.logger.info "(saml) Debug: Zammad配置的指纹: #{Setting.get('saml_certificate_fingerprint')}"
   

3. 重启Zammad服务：

   systemctl restart zammad
   

4. 触发SAML登录操作后，查看Zammad生产日志（路径通常为/var/log/zammad/production.log），对比日志中输出的两个指纹是否一致。

快速验证指纹计算的脚本 #

若不想修改Zammad源码，可通过以下Ruby脚本直接验证指纹计算结果：
创建verify_fingerprint.rb文件，内容如下：

require 'openssl'
require 'digest'

# 替换为你的IdP公钥证书路径
cert_path = '/path/to/your/idp-certificate.crt'
cert = OpenSSL::X509::Certificate.new(File.read(cert_path))

# 生成不同格式的指纹
sha256_with_colons = Digest::SHA256.hexdigest(cert.to_der).upcase.scan(/../).join(':')
sha256_without_colons = sha256_with_colons.gsub(':','')
sha1_with_colons = Digest::SHA1.hexdigest(cert.to_der).upcase.scan(/../).join(':')
sha1_without_colons = sha1_with_colons.gsub(':','')

puts "SHA256指纹（带冒号）: #{sha256_with_colons}"
puts "SHA256指纹（无冒号）: #{sha256_without_colons}"
puts "SHA1指纹（带冒号）: #{sha1_with_colons}"
puts "SHA1指纹（无冒号）: #{sha1_without_colons}"

运行脚本：

ruby verify_fingerprint.rb

将输出结果与Zammad中配置的指纹对比，即可快速定位格式或算法差异。

内容的提问来源于stack exchange，提问作者PassoGiau