GitLab SAML配置问题：AuthnRequest以GET而非POST发送致SSO失败

我来帮你解决这个GitLab SAML SSO的问题——你遇到的AuthnRequest用GET而非POST发送的问题，其实是GitLab SAML配置里的一个常见遗漏点，咱们一步步搞定它：

问题根源 #

GitLab默认情况下，SAML的AuthnRequest请求会使用HTTP-Redirect（也就是GET方式）发送，但你的IdP要求使用POST方式。你当前的配置只指定了断言消费服务的绑定（assertion_consumer_service_binding），但没有显式设置AuthnRequest的绑定类型，这就是问题所在。

解决方案：添加AuthnRequest绑定配置 #

你需要在SAML provider的args里添加authn_request_binding参数，明确指定使用POST方式发送AuthnRequest。修改后的完整配置如下：

gitlab_rails['omniauth_enabled'] = true
gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
gitlab_rails['omniauth_block_auto_created_users'] = false
gitlab_rails['omniauth_auto_link_ldap_user'] = false
gitlab_rails['omniauth_auto_link_saml_user'] = true
gitlab_rails['omniauth_providers'] = [
  {
    name: "saml",
    args: {
      assertion_consumer_service_url: "https://my.website/gitlab/auth/saml/callback",
      assertion_consumer_service_binding: 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      authn_request_binding: 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST', # 新增这一行
      idp_cert:... # 保留你原有的证书配置
    }
  }
]

后续验证步骤 #

• 保存修改后的GitLab配置文件
• 重启GitLab服务，确保配置生效（比如使用sudo gitlab-ctl restart命令）
• 再次尝试SSO登录，此时AuthnRequest应该会以POST方式发送给你的IdP
• 如果还有问题，建议和IdP团队确认他们的服务端是否正确配置了接受POST类型的AuthnRequest，同时可以检查GitLab的日志（路径通常为/var/log/gitlab/gitlab-rails/application.log）排查是否有其他报错

内容的提问来源于stack exchange，提问作者Shannow