Grails 3.x 无插件实现Spring Security SAML集成技术问询

我之前在Grails 3.x项目里做过无插件的Spring Security SAML集成，结合你已经添加的依赖，给你梳理下完整的实现步骤：

一、完善依赖配置 #

你已经添加了基础依赖，记得补充Spring Security SAML的核心依赖，把这些都放到build.gradle的依赖块中：

dependencies {
    // SAML基础依赖
    compile group: 'ca.juliusdavies', name: 'not-yet-commons-ssl', version: '0.3.17'
    compile 'org.opensaml:opensaml:2.6.0'
    compile 'org.opensaml:openws:1.4.1'
    compile 'org.opensaml:xmltooling:1.3.1'
    // Spring Security核心
    compile group: 'org.springframework.security', name: 'spring-security-core', version: '3.2.5.RELEASE'
    // Spring Security SAML核心依赖（你之前的内容截断了，这部分必须补上）
    compile group: 'org.springframework.security.extensions', name: 'spring-security-saml2-core', version: '1.0.10.RELEASE'
}

二、配置SAML核心Bean #

在grails-app/conf/spring/resources.groovy中定义SAML相关的核心组件，比如元数据管理器、认证过滤器、用户详情服务等：

import org.springframework.security.saml.*
import org.springframework.security.saml.metadata.*
import org.springframework.security.saml.websso.*

beans = {
    // SAML元数据管理器，负责加载IDP元数据
    metadataManager(MetadataManager) {
        metadataProviders = [ref('idpMetadataProvider')]
    }

    // IDP元数据提供者（这里以本地文件为例，也支持URL远程加载）
    idpMetadataProvider(ExtendedMetadataDelegate) {
        delegate = new FilesystemMetadataProvider(new File(grailsApplication.config.saml.idpMetadataPath))
        metadataTrustCheck = true
        metadataRequireSignature = false
    }

    // SAML认证处理过滤器
    samlProcessingFilter(SAMLProcessingFilter) {
        authenticationManager = ref('authenticationManager')
        authenticationSuccessHandler = ref('samlSuccessHandler')
        authenticationFailureHandler = ref('samlFailureHandler')
    }

    // 自定义SAML用户详情服务（后面会实现）
    samlUserDetailsService(CustomSAMLUserDetailsService)

    // SAML登录入口点
    samlEntryPoint(SAMLEntryPoint) {
        defaultProfileOptions = new WebSSOProfileOptions()
        metadataManager = ref('metadataManager')
    }
}

三、配置Spring Security过滤器链 #

修改grails-app/conf/application.groovy，将SAML相关过滤器加入安全链，并配置URL映射：

// 配置过滤器链映射，SAML相关路径走专属过滤器
grails.plugin.springsecurity.filterChain.chainMap = [
    '/saml/**': 'samlEntryPoint,samlProcessingFilter,securityContextPersistenceFilter,logoutFilter',
    '/**': 'JOINED_FILTERS' // 其他路径使用默认Spring Security过滤器链
]

// SAML相关URL配置
grails.plugin.springsecurity.saml.loginUrl = '/saml/login'
grails.plugin.springsecurity.saml.logoutUrl = '/saml/logout'
grails.plugin.springsecurity.saml.successUrl = '/' // 登录成功后的跳转路径

// IDP元文件路径配置
saml {
    idpMetadataPath = grailsApplication.config.grails.config.location[0] + '/saml/idp-metadata.xml'
}

四、实现用户映射逻辑 #

创建自定义的CustomSAMLUserDetailsService类，把SAML断言中的用户信息映射到你的系统用户：

import org.springframework.security.core.userdetails.UserDetails
import org.springframework.security.saml.SAMLCredential
import org.springframework.security.saml.userdetails.SAMLUserDetailsService

class CustomSAMLUserDetailsService implements SAMLUserDetailsService {

    @Override
    UserDetails loadUserBySAML(SAMLCredential credential) {
        // 从SAML断言中获取唯一标识（比如NameID）
        String username = credential.nameID.value
        // 可选：获取用户其他属性，比如邮箱、姓名
        String email = credential.getAttributeAsString('email')

        // 查询本地数据库，不存在则创建用户
        def systemUser = User.findByUsername(username) ?: new User(
            username: username,
            email: email,
            enabled: true
        ).save(flush: true)

        // 返回Spring Security标准的UserDetails对象
        return new org.springframework.security.core.userdetails.User(
            systemUser.username,
            '', // SAML认证不需要本地密码，留空即可
            systemUser.enabled,
            true,
            true,
            true,
            systemUser.authorities // 这里传入用户的权限列表，根据业务调整
        )
    }
}

五、准备IDP元数据 #

联系你的身份提供商（IDP）获取元数据文件（通常是idp-metadata.xml），把它放到项目的grails-app/conf/saml目录下，确保路径和application.groovy中的配置一致。

六、测试集成 #

启动Grails应用，访问配置的SAML登录URL（比如/saml/login），应该会跳转到IDP的登录页面；登录成功后会回调到你的应用，完成用户认证流程。

内容的提问来源于stack exchange，提问作者Natasha Juneja