Spring Security SAML 2.0 如何本地自定义选择指定身份提供商(IdP)

你提到的初始请求中的EntityID参数和你的需求完全相关，Spring Security SAML2 原生支持通过该标识指定要对接的身份提供商，你不需要依赖第三方SAMLDiscovery服务，自定义选择IdP的逻辑可以按照以下方案实现：

实现步骤 #

方案1：在SAMLEntryPoint阶段插入自定义选择逻辑（适配查询数据库匹配用户所属IdP的场景） #

你的推测完全正确，自定义逻辑可以放在认证入口点触发阶段执行，具体操作如下：

1. 继承Saml2WebSsoAuthenticationEntryPoint重写认证触发逻辑，在该方法中完成用户到IdP的匹配查询

public class CustomSamlAuthenticationEntryPoint extends Saml2WebSsoAuthenticationEntryPoint {
    // 注入自定义的用户-IdP映射服务
    private final UserIdpRelationService userIdpRelationService;
    // 注入多IdP配置仓库
    private final RelyingPartyRegistrationRepository relyingPartyRepo;

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        // 从请求中提取用户标识，比如前端传入的用户名、租户ID等
        String username = request.getParameter("username");
        // 执行自定义逻辑，查询该用户对应的IdP实体ID
        String targetIdpEntityId = userIdpRelationService.queryIdpEntityIdByUsername(username);
        // 根据实体ID匹配提前配置好的IdP注册信息
        RelyingPartyRegistration targetIdpRegistration = relyingPartyRepo.findByRegistrationId(targetIdpEntityId);
        if (targetIdpRegistration == null) {
            response.sendError(HttpServletResponse.SC_BAD_REQUEST, "未匹配到对应用户的身份提供商");
            return;
        }
        // 将匹配到的IdP配置放入请求属性，父类会自动使用该配置发起SAML认证请求
        request.setAttribute(Saml2WebSsoAuthenticationEntryPoint.class.getName() + ".RELYING_PARTY_REGISTRATION", targetIdpRegistration);
        super.commence(request, response, authException);
    }
}

2. 在Spring Security配置中替换默认的SAML2认证入口点

@Configuration
@EnableWebSecurity
public class SamlSecurityConfig {
    @Bean
    public SecurityFilterChain samlSecurityFilterChain(HttpSecurity http, CustomSamlAuthenticationEntryPoint customEntryPoint) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .saml2Login(config -> config
                // 替换为自定义的入口点
                .authenticationEntryPoint(customEntryPoint)
            );
        return http.build();
    }
}

注意：你配置多IdP时给每个IdP设置的registrationId可以直接对应IdP的EntityID，和你提到的EntityID参数完全匹配。

方案2：直接通过请求参数指定IdP（无需自定义EntryPoint的极简方案） #

如果不需要复杂的匹配逻辑，你可以直接使用Spring Security默认的参数规则指定IdP：

• 前端发起登录请求时直接调用/saml2/authenticate/{registrationId}，路径参数registrationId填写目标IdP的实体ID即可
• 也可以给默认SAML登录入口/login/saml2添加请求参数registrationId=目标IdP实体ID，框架会自动匹配对应IdP发起认证请求

内容的提问来源于stack exchange，提问作者Matt Goodrich