OAuth授权码流中SAML Bearer Assertion的Spring实现技术问询

首先得给你点个赞——你的思路完全正确！SAML Bearer Assertion正是解决「SAML做用户身份认证 + OAuth2保护API资源」场景的标准方案：它允许已经通过SAML身份提供商（IdP）认证的用户，用SAML断言直接换取OAuth2的Access Token，不需要再走OAuth授权码的用户交互流程，完美匹配你的需求。

关于你提到的Spring支持问题：确实Spring没有直接提供授权码类型结合SAML Bearer的开箱即用能力，但这是因为SAML Bearer本身对应OAuth2里的urn:ietf:params:oauth:grant-type:saml2-bearer专属授权类型，而非授权码流程。Spring Security（不管是旧的spring-security-oauth还是新的spring-security-oauth2-authorization-server）是支持扩展这个授权类型的，只是需要手动配置，下面给你详细拆解步骤：

一、OAuth2授权服务器端配置 #

核心是自定义授权类型的处理器，来验证SAML断言并生成令牌：

1. 先引入依赖：需要SAML服务端相关依赖（比如spring-security-saml2-service-provider）和OAuth2授权服务器依赖（如果用Spring 6+的新组件，就是spring-security-oauth2-authorization-server）。
2. 自定义AuthenticationConverter：识别grant_type=saml2-bearer的请求，提取请求里的assertion参数（Base64编码的SAML断言），封装成自定义的认证Token。
3. 实现AuthenticationProvider：负责验证SAML断言的合法性（包括签名、Issuer、受众、有效期等），验证通过后从断言中提取用户信息，生成OAuth2可用的身份凭证。

这里给你一段核心代码示例：

// 自定义处理SAML Bearer断言的AuthenticationProvider
@Component
public class Saml2BearerAuthProvider implements AuthenticationProvider {

    private final Saml2MetadataResolver metadataResolver;
    private final Saml2AssertionValidator assertionValidator;

    // 构造注入SAML元数据解析器和断言验证器
    public Saml2BearerAuthProvider(Saml2MetadataResolver metadataResolver, Saml2AssertionValidator assertionValidator) {
        this.metadataResolver = metadataResolver;
        this.assertionValidator = assertionValidator;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        Saml2BearerGrantAuthToken samlToken = (Saml2BearerGrantAuthToken) authentication;
        String base64Assertion = samlToken.getAssertion();
        
        // 1. 解码并解析SAML断言
        Assertion samlAssertion = decodeAndParseAssertion(base64Assertion);
        // 2. 验证断言的合法性（签名、issuer、audience等）
        assertionValidator.validate(samlAssertion, metadataResolver.resolve(samlAssertion.getIssuer().getValue()));
        // 3. 从断言中提取用户信息，构建自定义UserPrincipal
        UserPrincipal user = extractUserFromAssertion(samlAssertion);
        
        // 返回认证结果，供授权服务器生成OAuth2令牌
        return new OAuth2AuthenticationToken(
            user,
            Collections.emptyList(),
            "your-oauth-client-id"
        );
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return Saml2BearerGrantAuthToken.class.isAssignableFrom(authentication);
    }

    // 省略解码、解析、用户提取等辅助方法
}

然后在授权服务器的配置里注册这个Provider：

@Configuration
@EnableAuthorizationServer // 旧版Spring Security OAuth2用这个，新版用@Bean注册AuthorizationServerSettings
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {

    private final Saml2BearerAuthProvider samlAuthProvider;

    public AuthServerConfig(Saml2BearerAuthProvider samlAuthProvider) {
        this.samlAuthProvider = samlAuthProvider;
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationProvider(samlAuthProvider);
    }
}

二、OAuth客户端（SAML SP）侧配置 #

你已经配置了Spring SAML作为SP，接下来只需要在用户完成SAML认证后，拿断言去换OAuth令牌：

1. 在SAML认证成功的回调里，获取到可传递的SAML断言（通常是Base64编码的XML）。
2. 构造POST请求到OAuth授权服务器的/oauth/token端点，参数如下：
   • grant_type: urn:ietf:params:oauth:grant-type:saml2-bearer
   • assertion: 刚才拿到的Base64编码断言
   • client_id: 你的OAuth客户端ID
   • client_secret: （如果是保密客户端）对应的密钥

用Spring的RestTemplate实现的示例代码：

@Service
public class SamlToOAuthService {

    private final RestTemplate restTemplate;

    public SamlToOAuthService(RestTemplate restTemplate) {
        this.restTemplate = restTemplate;
    }

    public OAuth2AccessToken getOAuthToken(String samlAssertion) {
        MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
        params.add("grant_type", "urn:ietf:params:oauth:grant-type:saml2-bearer");
        params.add("assertion", samlAssertion);
        params.add("client_id", "your-client-id");
        params.add("client_secret", "your-client-secret");

        HttpHeaders headers = new HttpHeaders();
        headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);

        HttpEntity<MultiValueMap<String, String>> request = new HttpEntity<>(params, headers);
        return restTemplate.postForObject("http://your-auth-server/oauth/token", request, OAuth2AccessToken.class);
    }
}

三、替代方案参考 #

如果你觉得SAML Bearer的配置成本太高，还有两个更轻量化的可选方案：

• OAuth2授权码+SAML登录：在OAuth授权服务器的登录页面集成SAML SP，用户走授权码流程时，用SAML完成身份认证，之后正常获取OAuth令牌。这种方式Spring支持更完善，开箱即用的配置更多，不需要自定义太多组件。
• OpenID Connect（OIDC）：如果你的身份提供商支持OIDC，那直接用OIDC就够了——它是OAuth2的扩展，内置了身份认证，用ID Token做用户身份凭证，Access Token保护API，比SAML+OAuth2的组合更简洁，Spring Security对OIDC的支持非常成熟。

内容的提问来源于stack exchange，提问作者user8453102