从spring-security-saml2-core:1.0.10迁移至Spring Security 5.7.x的SAML问询

1. 能否自定义保留原有SAML端点路径？ #

可以通过Spring Security的配置自定义端点路径，无需修改所有客户端IDP的配置。具体实现方式如下：

• 单点登录（SSO）端点：在saml2Login配置中指定原有路径/saml/SSO作为登录处理URL
• 单点登出（SLO）端点：在saml2Logout配置中使用AntPathRequestMatcher匹配原有路径/saml/SingleLogout
• 元数据端点（若需调整）：自定义Saml2MetadataFilter时设置对应的路径

示例代码片段：

// 配置SSO端点
http.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
    .saml2Login(saml2 -> saml2.loginProcessingUrl("/saml/SSO"));

// 配置SLO端点
http.saml2Logout(saml2 -> saml2.logoutRequestMatcher(new AntPathRequestMatcher("/saml/SingleLogout")));

// 自定义元数据端点（可选）
@Bean
public Saml2MetadataFilter saml2MetadataFilter(RelyingPartyRegistrationRepository registrations) {
    Saml2MetadataFilter filter = new Saml2MetadataFilter(registrations, new OpenSamlMetadataResolver());
    filter.setFilterProcessesUrl("/saml/metadata");
    return filter;
}

2. 新版Spring Security是否覆盖旧扩展包的全部功能？ #

Spring Security 5.7.x内置的SAML2模块已经覆盖了spring-security-saml2-core:1.0.10的核心业务功能，包括：

• 与Okta、LastPass等主流IDP的登录、登出集成
• 标准单点登出（SLO）流程支持
• SAML元数据的生成与解析
• SAML断言的验证与处理

仅部分旧扩展包中的自定义扩展点（如特定断言转换器、自定义元数据处理器）需要适配新版API。对于常规的标准SAML2业务场景，新版完全可以满足需求，且官方持续维护，安全性和兼容性更有保障。

3. 是否有完整的迁移指南？ #

目前官方没有针对该版本迁移的专属指南，但可以通过以下方式完成迁移：

• 参考Spring Security官方文档的SAML2章节，熟悉新版的配置逻辑和API使用
• 查看官方GitHub仓库中的迁移示例代码，对比新旧配置的差异
• 参考社区讨论中的迁移经验，结合自身业务场景调整代码

建议先在测试环境中逐步替换依赖、调整配置，逐一验证登录、登出、SLO等核心流程的正确性，再推进生产环境的迁移。

内容的提问来源于stack exchange，提问作者Akhil Ranjan