配置AWS Cognito第三方SAML时出现RelayState参数缺失错误求助

核心原因 #

当从公司SSO IdP仪表板发起登录（IdP-initiated SSO流程）时，你的IdP没有在SAML请求中附带RelayState参数，但AWS Cognito在处理IdP发起的流程时要求该参数必须存在。而本地测试通常是SP-initiated流程，Cognito会自动生成并传递该参数，因此不会触发报错。

具体修复步骤 #

• 检查IdP端的SAML配置
  登录公司SSO IdP的管理后台，找到对应AWS Cognito应用的配置项，确认是否有启用或设置RelayState的选项。部分IdP允许手动指定固定的RelayState值，比如可以设为Cognito用户池的域名地址（例如https://your-user-pool-domain.auth.region.amazoncognito.com），或者留空让IdP自动生成（如果支持该功能）。

• 验证SAML请求内容
  开启IdP的SAML请求日志，或使用浏览器开发者工具（Network标签）捕获从IdP发送到Cognito ACS URL的请求，检查请求中是否包含RelayState参数。如果未包含，需在IdP配置中强制添加该参数。

• 调整Cognito的IdP配置（可选）
  如果IdP确实无法传递RelayState，可以尝试在Cognito用户池的身份提供商设置中，检查是否有相关的参数容错配置。不过大部分情况下，该参数是Cognito的硬性要求，优先从IdP端解决问题。

• 测试IdP-initiated流程
  修改配置后，重新从公司SSO仪表板发起登录，确认是否还出现Required String parameter 'RelayState' is not present错误。若仍有问题，检查SAML响应的格式是否符合Cognito要求，比如断言中的属性映射是否正确。

额外提示 #

部分IdP在配置IdP-initiated SSO时，默认不会传递RelayState——这是因为RelayState原本主要用于SP-initiated流程中保存跳转状态，但Cognito对两种流程都要求该参数存在。所以关键是确保IdP在发起请求时携带这个参数，哪怕是一个空值（部分IdP支持设置为空字符串）。

内容的提问来源于stack exchange，提问作者ffx292