多层Nginx代理下Spring Boot集成SAML认证出现端点不匹配报错如何解决

SAML 2.0协议的安全校验规则要求：身份提供商（Azure AD）返回的SAML Response中携带的Destination属性值，必须和服务提供商（你的Spring Boot应用）实际接收请求的端点地址完全一致。
你的场景中：

1. Azure AD按照你配置的Reply URL生成的Destination值为https://serverA/appName/saml/SSO
2. 两层Nginx代理转发请求时，默认没有传递原始请求的域名、协议、端口等信息，导致Spring Boot应用识别到的当前请求地址为https://serverB/appName/saml/SSO
   两端地址不匹配，因此触发校验异常。

• 第一步：配置两层Nginx传递原始请求头
  分别修改Server A和Server B的Nginx代理配置，在代理规则块中添加以下参数，传递原始请求的核心信息：

proxy_set_header Host $host;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header X-Forwarded-For $remote_addr;

修改后执行nginx -s reload生效配置。

• 第二步：配置Spring Boot识别代理转发头
  Spring Boot默认不会信任X-Forwarded-*开头的代理头，需要在配置文件（以application.yml为例）中添加以下配置，让应用能基于代理头正确识别原始请求地址：

server:
  # 启用原生代理头解析
  forward-headers-strategy: native
  tomcat:
    remoteip:
      # 配置信任的代理IP，此处填写Server B的IP，多个用逗号分隔
      trusted-proxies: x.x.x.x

如果使用application.properties，对应配置为：

server.forward-headers-strategy=native
server.tomcat.remoteip.trusted-proxies=x.x.x.x

• 第三步：（可选）强制指定SAML断言消费地址
  如果经过前两步配置后仍未解决问题，可以直接在Spring Security SAML的配置中硬编码指定断言消费服务的地址，和Azure AD中配置的Reply URL保持一致：

@Bean
public RelyingPartyRegistration azureAdSamlRelyingPartyRegistration() {
    return RelyingPartyRegistration.withRegistrationId("azure-ad")
            // 保留原有其他配置：entityId、identityProvider配置等
            .assertionConsumerServiceLocation("https://serverA/appName/saml/SSO")
            .build();
}

• 第四步：验证配置生效
  重启Spring Boot应用后发起登录测试，也可以添加临时测试接口打印当前请求地址，确认应用识别到的请求URL前缀为https://serverA/appName即可。

内容的提问来源于stack exchange，提问作者Tokyo