自定义SAML IDP对接Azure AD登录后wreply/RelayState跳转失效问题

问题排查与解答 #

核心原因 #

login.srf 作为微软 Azure AD 联合身份登录的官方终结点，不支持无备案的任意自定义地址跳转，你遇到的默认跳转到 https://www.office.com/?auth=2 是系统拦截非法跳转地址后的默认 fallback 行为，不是参数使用的格式问题。

必须满足的跳转前置条件 #

所有通过请求参数指定的跳转地址，都要同时符合两个要求：

• 地址已经提前添加到你 Azure AD 对应企业应用的「重定向URI」白名单中，且地址的协议、路径、域名和备案内容完全一致，哪怕末尾多一个斜杠都可能匹配失败
• 跳转地址的域名属于你 Azure AD 租户已经完成验证的自定义域名，或是微软官方认可的服务域名

参数使用的常见错误修正 #

你当前的参数用法存在协议不匹配的问题：

• wreply 是 WS-Federation 协议的专属参数，如果你走 SAML 2.0 协议流，这个参数不会生效
• RelayState 是 SAML 2.0 协议的跳转参数，不能直接拼接在 login.srf 的GET请求URL上，需要和SAMLResponse一起放在POST请求的body中提交，且值需要和你发起SAML认证请求时携带的RelayState完全一致

排查步骤 #

• 登录Azure AD管理中心，进入对应企业应用的「单点登录」配置页，确认目标跳转地址XXX已经添加到重定向URI白名单
• 如果你走WS-Fed流使用wreply参数，确保参数值已经做了URL编码，和白名单备案地址完全匹配
• 如果你走SAML流使用RelayState参数，修改请求逻辑，将RelayState和SAMLResponse一起通过POST请求提交到login.srf
• 检查租户是否配置了全局默认登录后跳转地址，全局配置优先级高于请求携带的参数，会覆盖自定义跳转规则

内容的提问来源于stack exchange，提问作者Dirk Ma