如何修改Spring Security SAML的默认SP SSO处理URL

问题根因排查&解决步骤 #

你已经完成的配置逻辑方向是对的，缺少以下关键配置/排查项：

1. 同步修改SP元数据中的ACS(断言消费服务)地址 #

Spring Security SAML默认生成的元数据中AssertionConsumerService地址还是/saml/SSO，必须显式修改为自定义路径，否则会出现SAML响应校验不通过的问题，配置示例：

@Bean
public MetadataGenerator metadataGenerator() {
    MetadataGenerator metadataGenerator = new MetadataGenerator();
    // 保留你原有的entityId、extendedMetadata等配置
    List<AssertionConsumerService> acsList = new ArrayList<>();
    AssertionConsumerService postAcs = new AssertionConsumerService();
    postAcs.setBinding(SAMLConstants.SAML2_POST_BINDING_URI);
    postAcs.setLocation("/saml/consume");
    postAcs.setIndex(0);
    postAcs.setIsDefault(true);
    acsList.add(postAcs);
    metadataGenerator.setAssertionConsumerServices(acsList);
    return metadataGenerator;
}

配置完成后访问/saml/metadata接口，确认返回的XML中AssertionConsumerService的Location属性值为你自定义的/saml/consume。

2. 校验路径匹配规则 #

你当前配置的过滤器路径存在匹配不一致的风险，按以下规则调整：

• 如果你IdP注册的消费地址是/saml/consume，将FilterChainProxy中该过滤器的匹配规则改为/saml/consume，同时过滤器构造参数保持/saml/consume即可
• 如果你不确定地址是否带后缀/参数，直接将两处路径都改为/saml/consume/**，保证所有前缀匹配的请求都能被过滤器拦截
  如果你的项目配置了server.servlet.context-path，需要把上下文路径拼接在自定义路径前，例如上下文为/demo时路径改为/demo/saml/consume

3. 校验SAML响应Destination属性 #

开启SAML debug日志，配置logging.level.org.springframework.security.saml=DEBUG，查看IdP返回的SAMLResponse中的Destination属性，必须和你配置的自定义消费地址完全一致（协议、域名、端口、路径全部匹配），否则SAML规范校验会直接拒绝请求，无后续处理逻辑。

4. 冗余代码优化 #

你自定义的CustomSAMLProcessingFilter没有新增额外逻辑，不需要单独继承，直接构造原生SAMLProcessingFilter传入自定义路径即可，配置示例：

@Bean
public SAMLProcessingFilter samlWebSSOProcessingFilter() throws Exception {
    SAMLProcessingFilter samlWebSSOProcessingFilter = new SAMLProcessingFilter("/saml/consume");
    samlWebSSOProcessingFilter.setAuthenticationManager(authenticationManager());
    samlWebSSOProcessingFilter.setAuthenticationSuccessHandler(samlAuthSuccessHandler);
    samlWebSSOProcessingFilter.setAuthenticationFailureHandler(samlAuthFailureHandler);
    return samlWebSSOProcessingFilter;
}

5. 确认过滤器链注册位置 #

确认你自定义的samlFilter已经正确添加到主Security过滤器链中，位置在UsernamePasswordAuthenticationFilter之前，配置示例：

http.addFilterBefore(samlFilter(), UsernamePasswordAuthenticationFilter.class);

内容的提问来源于stack exchange，提问作者wangzl