Spring Security集成Okta SAML2单点登出提示无法解析签名凭证

Failed to resolve any signing credential 是构造SAML登出请求签名时，未加载到可用的带私钥的签名凭证导致，你的配置存在3个明确问题：

• 概念混淆+凭证配置错误：signing.credentials是依赖方（你的服务）的签名凭证，必须包含私钥才能完成签名运算，你当前配置的是Okta提供的公钥证书（仅用于验签Okta发来的消息），没有私钥自然无法完成签名。
• 配置拼写错误：singlesignon.sign0request中的0是输入笔误，正确属性名为sign-request，笔误会导致对应配置项完全不生效。
• 缺少依赖方自身的基础配置：未配置自身的entity-id、单登开关等必要参数，会导致元数据解析不全。

1. 准备依赖方签名密钥对 #

SAML流程中，服务端发往Okta的签名请求必须使用自身持有的非对称密钥对签名，不能使用Okta提供的公钥证书。可通过JDK自带的keytool生成密钥库：

keytool -genkeypair -alias saml-rp -keyalg RSA -keysize 2048 -keystore rp-keystore.p12 -storetype PKCS12 -validity 3650

生成后将密钥库放入项目resources/saml目录，导出密钥对中的公钥证书，上传到Okta对应SAML应用的SP签名配置栏，保证Okta可以校验你发来的请求签名。

2. 修正application.yaml配置 #

参考如下正确配置，替换为你实际的参数：

spring:
  security:
    saml2:
      relyingparty:
        registration:
          okta:
            # 配置自身的实体ID，必须和Okta侧填写的SP Entity ID完全一致
            entity-id: "https://你的服务域名/saml2/metadata/okta"
            # 开启单点登出
            singlelogout:
              enabled: true
              binding: POST
            # 自身签名凭证，必须配置带私钥的密钥材料，两种方式二选一即可
            signing:
              credentials:
                # 方式1：直接配置PEM格式的私钥和对应公钥证书
                - private-key-location: "classpath:saml/rp-private.key"
                  certificate-location: "classpath:saml/rp-public.crt"
                # 方式2：配置密钥库（和上面方式二选一）
                # - keystore-location: "classpath:saml/rp-keystore.p12"
                #   keystore-password: "你设置的密钥库密码"
                #   keystore-alias: "saml-rp"
                #   keystore-type: "PKCS12"
            assertingparty:
              entity-id: "http://www.okta.com/你的Okta应用实体ID"
              # Okta侧的验签凭证，仅配置Okta提供的公钥证书即可
              verification:
                credentials:
                  - certificate-location: "classpath:saml/okta.crt"
              singlesignon:
                url: "https://你的Okta域名/app/xxxxxxxxx/sso/saml"
                # 修正笔误：原配置的sign0request是错误写法
                sign-request: false
              singlelogout:
                url: "https://你的Okta域名/app/xxxxxxxxx/slo/saml"
                # 按Okta侧配置要求设置是否签名登出请求/响应
                sign-request: true
                sign-response: true

3. 登出请求编码 #

不需要手动构造SAML登出报文，Spring Security会自动拦截/logout的POST请求完成SLO流程，只需要保证表单携带合法CSRF令牌即可：

<form action="/logout" method="post">
  <!-- Thymeleaf模板可直接用下面的写法获取CSRF令牌，非模板引擎请从Cookie或请求作用域中获取对应参数 -->
  <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}">
  <button type="submit">退出登录</button>
</form>

• 如果选择直接配置PEM私钥，确认私钥未设置密码保护、文件格式为标准PKCS8 PEM格式，应用有对应文件的读取权限。
• 确认Okta侧SAML应用已开启单点登出功能，填写的SP登出回调地址为https://你的服务域名/logout/saml2/slo，和本地配置完全一致。
• 建议使用Spring Security 5.7.x以上稳定版本，避免低版本存在的SAML凭证解析已知Bug。

内容的提问来源于stack exchange，提问作者emdibee