OneLogin php-saml对接Keycloak IdP出现AuthNRequestID不匹配如何解决

核心原因分析 #

该错误本质是SP（你的PHP站点）收到SAML响应时，从本地会话中读取到的上次发送的认证请求ID，和IdP返回的InResponseTo字段值不一致，常见触发原因如下：

• 配置域名不一致：你的配置文件中存在明显的域名错误，baseurl配置为https://website.com，但sp下的singleLogoutService的url写为https://mywebsite.com，域名不统一会导致跨域会话丢失，回调时无法读取到原有会话中存储的请求ID。
• 会话存储失效：php-saml默认将生成的AuthNRequest ID存储在PHP Session中，若Session配置存在问题，会导致回调时无法读取到原有会话：
  • Session的cookie_domain、cookie_path配置错误，跳转回ACS端点时无法携带原有会话Cookie
  • HTTPS站点未开启session.cookie_secure配置，或者session.cookie_samesite设置不符合跨站要求（跨域SAML场景需要设置为None且同时开启Secure属性）
• 重复发起认证请求：用户多次点击登录按钮、浏览器自动重试请求都会导致短时间内生成多个AuthNRequest ID，会话中会存储最后一次生成的ID，但IdP可能返回更早请求的响应，导致匹配失败。
• Strict模式强制校验：你的配置中strict参数设置为true，该模式下会强制校验InResponseTo字段，若会话存储异常会直接抛出校验失败错误。

排查修复步骤 #

1. 先修正配置错误：将sp.singleLogoutService.url的值修改为和baseurl一致的域名，即https://website.com/saml/sso/index.php?slo
2. 调整PHP Session配置，在PHP.ini或者代码入口处添加以下配置：

// HTTPS站点配置
ini_set('session.cookie_secure', '1');
ini_set('session.cookie_samesite', 'None');
// 统一cookie作用域
ini_set('session.cookie_domain', '.website.com');
ini_set('session.cookie_path', '/');

3. 测试时清除浏览器缓存，单次点击登录按钮，抓包确认仅发起一次AuthNRequest请求
4. 临时将strict参数改为false测试是否可正常登录，确认是否仅为InResponseTo校验问题，排查完成后建议切回true保证安全性。

内容的提问来源于stack exchange，提问作者Mate Mate