Spring Boot对接Shibboleth无法获取属性及路径映射异常咨询

• 先检查Apache的反向代理配置：确认Apache里的ProxyPass、ProxyPassReverse规则是否包含/attributes/view路径的转发，要指向你的Tomcat实例地址，示例配置如下：

ProxyPass /attributes/view http://127.0.0.1:8080/attributes/view
ProxyPassReverse /attributes/view http://127.0.0.1:8080/attributes/view

同时要确认/Shibboleth.sso相关路径不要转发到Tomcat，要留给Shibboleth SP处理，需添加排除规则：

ProxyPass /Shibboleth.sso !

• 检查Spring Boot应用的上下文路径：如果你的Spring Boot配置了server.servlet.context-path参数（比如设置为/app），那实际访问路径应该是/app/attributes/view，Apache转发规则也要对应调整路径。
• 临时关闭自定义错误控制器调试：可以先注释掉你的自定义AppErrorController，直接访问路径看具体的404报错来源，确认是Apache层返回的404还是Spring Boot层返回的404。

Shibboleth SP默认会把解析后的SAML断言属性放到请求头里传递给后端应用，你需要先完成前置配置开启属性传递：

1. 编辑Shibboleth的shibboleth2.xml配置文件，确认<ApplicationDefaults>节点下的attributePrefix配置：如果用AJP协议转发默认值是AJP_，如果用HTTP反向代理转发建议把前缀设为HTTP_，后端Spring Boot可以直接识别为请求头。
2. 编辑Apache的站点配置，确保受保护路径下开启了属性传递，示例配置：

<Location /attributes/view>
  AuthType shibboleth
  ShibRequestSetting requireSession 1
  ShibUseHeaders On
  require valid-user
</Location>

其中ShibUseHeaders On是核心配置，开启后才会把属性放到请求头里传给后端应用。
3. 调整Spring Boot控制器代码读取对应属性：比如你要获取givenName（名字）和surname（姓氏），可以直接从请求头里取，键名和你配置的attributePrefix对应，示例代码：

@RestController
public class SwitchController {
    private static final Logger logger = LoggerFactory.getLogger(SwitchController.class);

    @RequestMapping("/attributes/view")
    public ResponseEntity<String> listAllHeaders(@RequestHeader Map<String, String> headers,
                                                 @RequestHeader(value = "givenName", required = false) String givenName,
                                                 @RequestHeader(value = "surname", required = false) String surname) {
        // 先打印所有请求头，确认属性的实际键名
        headers.forEach((key, value) -> logger.info("Header '{}' = {}", key, value));
        
        logger.info("获取到的用户名字：{}，姓氏：{}", givenName, surname);
        return ResponseEntity.ok(String.format("Listed %d headers, 用户名字：%s，姓氏：%s", headers.size(), givenName, surname));
    }
}

如果你的属性前缀配置为HTTP_，请求头的键名会自动转为全大写、下划线分隔的格式，比如HTTP_GIVENNAME、HTTP_SURNAME，查看日志打印的全量请求头就能确认正确的键名。

之前Postman调用失败是因为缺少Shibboleth的会话凭证，你可以先在浏览器中完成IDP认证，打开浏览器开发者工具复制Cookie里_shibsession_开头的会话Cookie，将该Cookie添加到Postman的请求头中，再调用/attributes/view接口即可正常返回结果。

内容的提问来源于stack exchange，提问作者Anuska