更换ADFS服务器后SAML认证报XMLSignatureException问题求助

你遇到的javax.xml.crypto.dsig.XMLSignatureException: the keyselector did not find a validation key异常，加上断言过期、时间偏差的日志，其实是两个关联的问题——时间同步问题会触发断言过期，而通配符证书的配置疏漏会导致密钥验证失败。下面分模块给你排查步骤：

一、搞定"找不到验证密钥"的核心问题 #

这个异常本质是JBoss作为SP，没法找到能验证ADFS签名的合法密钥，尤其是用了通配符证书，容易在信任链、元数据配置上出问题：

• 检查通配符证书的信任链是否完整导入：
  别只把*.dev.adfs.com的证书导入JBoss的信任库（一般是$JBOSS_HOME/standalone/configuration/keystore.jks或者你自定义的信任存储），一定要把它的根CA、中间CA证书也一起导入。缺少信任链的话，JBoss会判定这个通配符证书不合法，自然找不到有效验证密钥。
  导入后可以用keytool -list -v -keystore <你的信任库路径>命令确认证书链是否完整。
• 更新ADFS元数据并校验签名证书：
  手动下载新ADFS的元数据（地址一般是https://<你的ADFS域名>/FederationMetadata/2007-06/FederationMetadata.xml），打开看看里面的<ds:X509Certificate>字段是不是通配符证书的内容。如果元数据里还是旧证书，说明ADFS配置没更新，或者JBoss没拉取新的元数据。
  另外要确认通配符证书的**主题备用名称（SAN）**里包含了ADFS服务器的实际域名——有些通配符证书只写了*.dev.adfs.com，但没加具体的服务器FQDN，JBoss验证签名时会检查证书与请求域名的匹配性，这也会导致密钥验证失败。
• 核对JBoss SAML配置的密钥存储参数：
  打开standalone.xml（或domain.xml），找到<subsystem xmlns="urn:jboss:domain:saml:1.1">配置块，检查keyStore、trustStore的路径和密码是否正确指向了包含完整信任链的存储文件。如果是自定义密钥选择器，也要确保它能正确识别通配符证书。

二、修复断言过期与时间偏差问题 #

时间偏差不仅会直接导致断言过期，还可能间接影响签名验证的时间戳校验，必须优先解决：

• 强制同步JBoss与ADFS的系统时间：
  用date（Linux）或w32tm /query /status（Windows）检查两边的系统时间，确保都同步到同一个NTP服务器，误差控制在1分钟以内。ADFS生成的断言有效期一般只有5-10分钟，时间差超过这个窗口，JBoss就会判定断言过期。
• 检查JVM时区配置：
  确保JBoss的JVM时区和ADFS服务器一致，或者统一用UTC时间。可以在JBoss的启动脚本里加上-Duser.timezone=UTC参数，避免时区差异导致的时间计算错误。
• 临时调整ADFS断言生命周期（可选）：
  如果时间同步暂时有困难（比如跨地域但NTP同步正常的话其实不需要），可以在ADFS管理控制台里找到对应的JBoss SP信赖方信任，编辑「高级」设置，把「断言生命周期」从默认的5分钟改成10分钟——但这只是临时 workaround，核心还是要解决时间同步问题。

验证流程 #

1. 先搞定时间同步，确保两边时间误差在1分钟内，测试认证是否还会报断言过期。
2. 如果还有密钥验证异常，重新导入完整的证书信任链，更新JBoss的ADFS元数据配置。
3. 重启JBoss让配置生效，再走一遍SAML认证流程。

内容的提问来源于stack exchange，提问作者Dilanka M