AngularJS+Spring SAML+ADFS集成异常求助：浏览器重启后跳转失效

我之前在做Spring SAML和ADFS集成的时候碰到过几乎一模一样的偶发问题，结合你描述的症状和控制台的Refused to execute sc...错误，核心问题大概率是前端缓存的认证状态和后端/SAML会话状态不匹配，再加上浏览器脚本执行限制的叠加影响。下面是几个经过验证的排查和解决方向：

浏览器关闭后残留的旧会话Cookie是这类偶发问题的常见诱因：

• 检查Spring SAML的SAMLCookieGenerator配置，确保会话Cookie在浏览器关闭时自动失效，避免残留信息干扰新会话：

  @Bean
  public SAMLCookieGenerator samlCookieGenerator() {
      SAMLCookieGenerator cookieGenerator = new SAMLCookieGenerator();
      cookieGenerator.setCookieMaxAge(-1); // 浏览器关闭即删除Cookie
      cookieGenerator.setCookieName("SAML_SESSION");
      return cookieGenerator;
  }
  

• 同步ADFS端的会话超时设置，确保ADFS会话失效时间和应用端的策略一致，避免ADFS已经失效的会话被前端误判为有效。

这个错误是浏览器内容安全策略(CSP)或脚本加载时机导致的，会直接打断应用初始化流程：

• 调整Angular应用的CSP配置，在index.html中添加允许ADFS域名的脚本加载规则（生产环境建议替换为具体脚本哈希值，避免使用unsafe-inline/unsafe-eval）：

  <meta http-equiv="Content-Security-Policy" content="script-src 'self' https://your-adfs-domain.com 'unsafe-inline' 'unsafe-eval';">
  

• 优化前端路由拦截逻辑，强制在未授权时触发SAML登录跳转，不要依赖前端缓存的状态：

  app.run(['$rootScope', '$location', function($rootScope, $location) {
      $rootScope.$on('$routeChangeStart', function(event, nextRoute) {
          // 调用后端接口验证会话有效性，或者检查本地关键认证标识
          const isAuthenticated = checkAuthStatus(); 
          if (!isAuthenticated) {
              window.location.href = '/saml/login'; // 直接跳转到Spring SAML登录端点
              event.preventDefault();
          }
      });
  }]);
  

浏览器关闭后，sessionStorage/localStorage可能残留旧的认证信息，导致应用误以为用户已登录，但实际SAML会话已失效：

• 在Angular应用启动阶段添加状态校验逻辑，一旦发现会话无效就清除本地存储并强制跳转登录：

  app.run(['$http', '$window', function($http, $window) {
      // 调用后端会话检查接口
      $http.get('/api/auth/validate-session')
          .catch(() => {
              // 会话失效，清除本地存储
              $window.localStorage.clear();
              $window.sessionStorage.clear();
              // 强制跳转SAML登录
              $window.location.href = '/saml/login';
          });
  }]);
  

如果之前的注销操作没有同时清除ADFS和应用端的会话，会导致残留会话干扰新登录：

• 确保Spring SAML的单点注销配置正确，注销时同步清除ADFS会话和应用Cookie：

  @Bean
  public SingleLogoutProfile singleLogoutProfile() {
      SingleLogoutProfileImpl logoutProfile = new SingleLogoutProfileImpl();
      // 根据你的ADFS配置调整签名验证规则
      logoutProfile.setValidateResponseSignature(false); 
      return logoutProfile;
  }
  

这些调整应该能解决你碰到的偶发问题，建议先从前端状态校验和Cookie配置入手排查，这两个是最容易触发这类问题的点。

内容的提问来源于stack exchange，提问作者r-arun-r