SimpleSAMLphp同IdP下多SP被动认证不生效配置排查

核心报错说明 #

返回Passive authentication not supported报错，本质是IdP收到带isPassive=true的认证请求时，检测不到自身域名下的有效全局登录会话，又因为被动模式要求IdP不能弹出交互登录页，只能直接返回错误，和两个SP的关联配置没有关系：SAML SSO的核心逻辑是IdP维护自己的全局会话，SP之间不需要做状态同步，用户访问任意SP跳转到IdP时，浏览器会自动携带IdP域名下的会话Cookie，IdP识别到有效会话就会直接返回认证结果，不需要重复输入凭证。

可落地排查&修复步骤 #

• 修正SP端isPassive参数的错误用法
  当前在login方法里硬编码isPassive=true的写法不符合SAML协议逻辑：
  isPassive=true的作用是强制IdP不得展示任何交互界面，仅在存在有效全局会话时直接返回认证结果，无有效会话时必须直接返回错误，绝对不能作为所有登录请求的固定参数。
  正确的传参逻辑：
  1. SP1首次发起登录请求时，isPassive传false，允许IdP弹出登录表单，用户完成认证后IdP会种下自己的全局会话Cookie
  2. SP2发起登录时，可以先发起一次isPassive=true的请求做静默登录试探：如果IdP返回成功就直接完成登录；如果返回被动认证错误，再发起一次isPassive=false的请求，此时IdP如果识别到自身的有效会话，会直接回跳SP2，不会要求用户重复输入凭证。
     现有代码里login方法的第五个参数（isForceAuthn）传false是正确的，注意不要误传为true，否则无论IdP是否有会话都会强制要求用户重新输入凭证。
• 排查IdP侧SimpleSAMLphp的会话配置
  打开IdP根目录下的config/config.php，逐一核对以下配置：
  1. 确认session.enable设为true，该开关是IdP全局会话的总开关，关闭后所有登录状态都不会留存
  2. 确认会话Cookie配置和访问场景匹配：如果本地测试用HTTP协议访问IdP，必须把session.cookie.secure设为false，否则浏览器会拒绝存储IdP的会话Cookie，每次跳转IdP都会被判定为未登录；生产环境HTTPS场景下再设为true
  3. 确认session.cookie.samesite配置合理，不要设为Strict，否则跨站跳转时浏览器不会携带IdP的Cookie，导致IdP识别不到会话
  4. 确认session.duration设置的会话有效期足够长，不要设为0或过短的时长，避免刚完成SP1登录会话就过期
  5. 确认PHP的Session存储目录（默认路径为/var/lib/php/session）对web运行进程有读写权限，权限不足会导致会话文件无法写入，每次请求都会生成新的空会话
• 核对SP远程配置与请求参数
  打开IdP端的saml20-sp-remote.php配置文件，检查两个SP的配置项：
  1. 每个SP配置数组中不要强制设置ForceAuthn => true，该参数会强制IdP忽略现有会话，要求用户重新输入凭证
  2. 两个SP配置里的entityID必须和Laravel端SAML配置文件里的sp.entityId完全一致，注意排查http/https不匹配、尾部多斜杠、大小写不一致的问题，否则IdP无法正确识别SP实体
  3. 抓包查看SP2发往IdP的AuthnRequest参数，确认请求中没有携带ForceAuthn="true"属性
• 快速验证IdP会话有效性
  按以下步骤操作可以快速定位问题点：
  1. 清空浏览器所有域名下的Cookie，访问SP1点击登录，跳转IdP输入凭证完成认证，确认SP1登录态生效
  2. 不关闭浏览器，直接在地址栏访问IdP的欢迎页路径/module.php/core/frontpage_welcome.php，如果页面显示"你当前未登录"，说明IdP会话Cookie根本没有种成功，问题100%出在IdP会话配置上，和SP逻辑无关；如果页面显示当前已登录的用户信息，说明IdP会话正常，问题出在SP请求参数配置上。

常见认知误区 #

• 不需要在IdP上额外配置两个SP的"关联关系"，只要两个SP都正确注册在同一个IdP下，就天然支持SSO
• Passive authentication not supported报错不代表IdP不支持被动认证，90%以上的场景是IdP没有检测到有效会话，被被动模式限制无法展示登录页才返回的错误。

内容的提问来源于stack exchange，提问作者Miguel Mesquita Alfaiate