WSO2 IS 5.1.0集成Azure SAML SSO获取OAuth令牌报错咨询

核心报错SAML Assertion Audience Restriction validation failed（SAML断言受众限制校验失败）是整个流程异常的根本原因：
SAML断言中的Audience字段是安全限制属性，用于指定当前断言仅允许被指定的服务提供商（SP，即本次部署的WSO2 IS）接收。当Azure AD返回的SAML断言中的Audience值，与WSO2 IS侧配置的SAML身份提供商的服务提供商实体ID不匹配时，就会触发该校验失败。

后续出现的java.lang.NullPointerException是SAML校验失败的连锁反应：身份认证流程提前中断，用户上下文、客户端参数等未完成初始化，因此后续申请OAuth令牌时读取不到Client ID、User ID等必填参数，抛出空指针异常。

按以下步骤逐一验证配置即可解决问题：

• 第一步：提取Azure AD返回的实际Audience值。通过浏览器开发者工具捕获SAML响应报文，解码后找到<AudienceRestriction>节点下的<Audience>字段取值，Azure侧默认格式通常为api://<Azure应用注册的客户端ID>，也可能是你自定义的实体ID。
• 第二步：修改WSO2 IS侧SAML身份提供商配置。登录WSO2 IS管理控制台，进入对应Azure SAML身份提供商的配置页，找到服务提供商实体ID（Service Provider Entity ID） 配置项，将其值修改为第一步提取到的Audience值，必须保证大小写、特殊字符、路径完全一致，不能有多余的斜杠、空格等字符。
• 第三步：同步验证Azure侧配置。进入Azure门户对应企业应用的SAML配置页，找到基本SAML配置下的标识符（实体ID） 项，确认该值和WSO2侧配置的服务提供商实体ID完全匹配。
• 临时测试方案（仅测试验证使用，禁止生产环境开启）：如果需要快速确认问题是否为受众校验导致，可以修改WSO2 IS配置文件<IS_HOME>/repository/conf/identity/application-authentication.xml，在对应SAML身份提供商的配置节点下添加<Property name="AssertionAudienceValidationEnabled">false</Property>，关闭受众校验，验证流程通了之后必须改回true，使用正确的配置值。

内容的提问来源于stack exchange，提问作者Shankar Ganesh Jayaraman