Spring Boot整合登录认证与SAML2 SSO遇415错误及配置咨询

我在Spring Boot应用原有登录认证基础上添加Okta作为身份提供商的SSO登录，访问Okta的SSO URL后请求跳转至本地端点，但返回415响应，概念理解上存在瓶颈。

WebSecurity配置 #

@Override
protected void configure(final HttpSecurity http) throws Exception {

    http.cors()
            .and()
            .csrf()
            .disable()
            .authorizeRequests()
            .antMatchers(SECURITY_WHITELIST)
            .permitAll()
            .and()
            .httpBasic()
            .and()
            .exceptionHandling()
            .authenticationEntryPoint(authenticationEntryPoint).and().sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            /* configuring saml*/
            .and()
            .saml2Login(Customizer.withDefaults())
            .saml2Logout(Customizer.withDefaults())
            // .addFilterBefore(filter, Saml2WebSsoAuthenticationFilter.class).antMatcher("/**/auth-saml")  //
            .authorizeRequests()
            .anyRequest().authenticated();

    http.addFilterBefore(tokenAuthorizationFilter, UsernamePasswordAuthenticationFilter.class);
}

控制器端点签名 #

@PostMapping(value = BASE_NAME,consumes =  MediaType.APPLICATION_FORM_URLENCODED_VALUE )
ResponseEntity<AuthenticationDTO> login ( @RequestBody MultiValueMap body);

控制台异常核心为请求媒体类型不被支持，即415错误的本质是请求Content-Type与端点接收类型不匹配。

Spring Security配置（application.yml） #

spring:                                                                        
  security:
    saml2:
      relyingparty:
        registration:
          okta:
            identityprovider:
              entity-id: https://www.okta.com/************
              verification.credentials:
                - certificate-location: classpath:credentials/okta.cert
              singlesignon.url: https://trial-8410773.okta.com/app/trial-********/sso/saml
              singlesignon.sign-request: false

我的疑问：是否可以认为415响应是由于基于令牌的配置无法从请求头中获取令牌导致的？同时希望得到两种认证方式的配置建议。

问题分析与解决方案 #

415错误原因 #

不是令牌获取问题，核心原因是Okta跳转回本地的SAML响应请求，与你的自定义端点接收规则不匹配。

Spring Security的SAML2登录默认使用/login/saml2/sso/{registrationId}端点（此处为/login/saml2/sso/okta）接收Okta的SAML断言，该请求Content-Type为application/x-www-form-urlencoded，但你的自定义login端点并非SAML流程的目标回调端点，且当前配置存在两个关键问题：

1. 启用SessionCreationPolicy.STATELESS，但SAML2登录依赖会话保存认证状态，无状态配置会直接打断SAML流程。
2. 自定义令牌过滤器tokenAuthorizationFilter拦截所有请求，包括SAML回调请求，而SAML请求不会携带令牌，过滤器会提前阻断请求流转。

双认证（令牌+SAML）配置建议 #

1. 调整WebSecurity核心配置

@Override
protected void configure(final HttpSecurity http) throws Exception {
    http.cors()
            .and()
            .csrf().disable()
            // 优先配置SAML相关端点的放行规则
            .authorizeRequests()
            .antMatchers("/login/saml2/sso/okta", "/saml2/logout/okta").permitAll()
            .antMatchers(SECURITY_WHITELIST).permitAll()
            .anyRequest().authenticated()
            .and()
            // 配置SAML2登录，自定义成功后逻辑（生成令牌返回前端）
            .saml2Login(saml2 -> saml2
                    .successHandler((request, response, authentication) -> {
                        // 从SAML认证信息提取用户数据，生成自定义令牌
                        String token = generateToken(authentication);
                        // 重定向到前端并携带令牌，或直接返回JSON响应
                        response.sendRedirect("/frontend?token=" + token);
                    })
            )
            .saml2Logout(Customizer.withDefaults())
            .and()
            .httpBasic()
            .and()
            .exceptionHandling()
            .authenticationEntryPoint(authenticationEntryPoint)
            .and()
            // SAML需要会话支持，调整为按需创建
            .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);

    // 限制令牌过滤器仅处理API路径，避免拦截SAML请求
    http.addFilterBefore(tokenAuthorizationFilter, UsernamePasswordAuthenticationFilter.class)
            .antMatcher("/api/**");
}

2. 优化令牌过滤器逻辑

• 确保过滤器仅拦截需要令牌认证的路径（如/api/**），不处理SAML相关端点。
• 过滤器中若未获取到令牌，不要直接抛出错误，需让请求继续流转给SAML处理逻辑。

3. Okta配置校验

• 确认Okta后台配置的回调URL为http://localhost:8080/login/saml2/sso/okta（根据实际端口调整）。
• 校验SAML签名证书路径与配置一致，确保证书文件存在且格式正确。

内容的提问来源于stack exchange，提问作者tarmogoyf