Spring SAML应用中IdP与SP服务器之间无限重定向问题求助

以下为可直接落地的排查修复步骤：

• Cookie 跨域配置校验
  这是跨服务器部署场景下最高发的问题：IdP、SP分属不同域名时，SP生成的会话Cookie如果SameSite属性配置为Lax/Strict，浏览器跨域跳转后不会携带该Cookie，导致SP无法识别已完成认证的会话，反复触发重定向。
  修复方案：
  1. 非生产测试环境如果用HTTP协议，可临时将SameSite设为None，生产环境必须同步开启HTTPS，配置Secure属性为true
  2. Tomcat侧配置：在conf/context.xml中添加<CookieProcessor sameSiteCookies="None" />
  3. Spring侧配置：在配置文件中添加server.servlet.session.cookie.secure=true
• ACS地址一致性校验
  确认IdP侧登记的断言消费服务(ACS)地址，与Spring应用中配置的ACS地址完全一致，包括协议头(HTTP/HTTPS)、域名、端口、路径后缀，任意一处不匹配都会导致Spring SAML拒绝断言，不创建认证会话。
  Spring配置路径参考：spring.security.saml2.relyingparty.registration.{你的IdP注册标识}.assertion-consumer-service.location
• 反向代理适配配置校验
  如果SP前端部署了Nginx、SLB等反向代理，需要在Tomcat侧配置请求透传参数，避免Spring SAML拿到的请求协议、端口与实际访问地址不符。
  修复方案：在conf/server.xml对应的Connector节点添加配置：proxyPort="443" scheme="https" secure="true"，根据实际代理的端口、协议调整参数值。
• 系统时间校准
  SAML断言存在有效期校验，如果SP服务器系统时间与IdP服务器时间差超过断言的有效时间窗，Spring会直接判定断言失效，不建立会话。请同步校准SP、IdP两侧的服务器系统时间。
• 认证状态持久化校验
  如果自定义了Spring Security的认证成功处理器、安全上下文存储策略，请确认：
  1. 认证成功后已将合法的Authentication对象写入SecurityContextHolder
  2. SecurityContextPersistenceFilter未被自定义逻辑屏蔽，可正常将会话信息同步到Session中

内容的提问来源于stack exchange，提问作者Mounika