集成SAML 2与Spring Security时出现过滤器链匹配模式异常求助

这个问题我之前在整合SAML 2和Spring Security 3.x的时候也遇到过，其实核心原因就是Spring Security过滤器链的匹配顺序规则导致的——当你把通用匹配模式/**放在其他更具体的路径规则前面时，所有请求都会先匹配到这个通用规则，后面的具体规则就会被直接忽略，所以抛出了这个错误。

下面是具体的解决方案：

1. 调整拦截URL的顺序 #

打开你的security-context.xml，找到<http>标签下的<intercept-url>配置，确保更具体的路径规则放在通用规则/**的前面。

比如，错误的配置（通用规则在前）：

<http auto-config="true">
    <!-- 错误：通用匹配先定义，导致后面的SAML路径规则被忽略 -->
    <intercept-url pattern="/**" access="isAuthenticated()" />
    <intercept-url pattern="/saml/login" access="permitAll()" />
    <intercept-url pattern="/saml/metadata" access="permitAll()" />
    <!-- SAML相关过滤器配置 -->
</http>

修正后的配置（具体规则在前）：

<http auto-config="true">
    <!-- 先定义SAML相关的具体路径规则 -->
    <intercept-url pattern="/saml/login" access="permitAll()" />
    <intercept-url pattern="/saml/metadata" access="permitAll()" />
    <intercept-url pattern="/saml/logout" access="isAuthenticated()" />
    <!-- 最后定义通用匹配规则 -->
    <intercept-url pattern="/**" access="isAuthenticated()" />
    <!-- SAML过滤器配置，比如SamlFilter等 -->
</http>

2. 拆分多个<http>配置（可选） #

如果你的应用有多个不同的路径组需要独立的安全规则，可以拆分出多个<http>标签，让处理具体路径的<http>放在通用<http>的前面。

比如专门为SAML路径配置独立的安全链：

<!-- 先处理SAML专属路径，优先级更高 -->
<http pattern="/saml/**" auto-config="true">
    <intercept-url pattern="/saml/login" access="permitAll()" />
    <intercept-url pattern="/saml/metadata" access="permitAll()" />
    <intercept-url pattern="/saml/**" access="isAuthenticated()" />
    <!-- 配置SAML相关的过滤器，比如SamlProcessingFilter、SamlLogoutFilter等 -->
</http>

<!-- 再处理所有其他请求的通用安全规则 -->
<http auto-config="true">
    <intercept-url pattern="/**" access="isAuthenticated()" />
    <!-- 应用其他安全配置 -->
</http>

关键原理回顾 #

Spring Security的过滤器链是按配置顺序进行匹配的，一旦某个请求匹配到了前面的规则，就会直接使用该规则对应的安全策略，后续的规则不会再被检查。所以一定要遵循「具体规则在前，通用规则在后」的原则。

内容的提问来源于stack exchange，提问作者hmzn