Simplesamlphp多站点（Apache虚拟主机）部署下签名验证失败问题求助

遇到过类似的多SP配置踩坑经历，给你几个实际可行的排查方向和解决方案，你可以一步步试：

1. 先排查会话隔离问题 #

如果两个站点共用同一个SimpleSAMLphp实例，默认的会话可能会被共享，导致test1的请求错误地用了test2的证书去验证签名。解决办法是给每个SP配置独立的会话名称：

'test1-sp' => [
    'saml:SP',
    'entityID' => 'https://test1.example.com/saml/sp',
    'sessionName' => 'SimpleSAMLSession-test1', // 给test1单独设会话名
    'certificate' => 'cert/test1-sp.crt',
    // 其他配置保持不变
],
'test2-sp' => [
    'saml:SP',
    'entityID' => 'https://test2.example.com/saml/sp',
    'sessionName' => 'SimpleSAMLSession-test2', // test2的独立会话名
    'certificate' => 'cert/test2-sp.crt',
    // 其他配置保持不变
]

这样就能避免两个站点的会话数据互相干扰。

2. 验证证书和实体ID的配置准确性 #

• 先确认两个SP的证书文件路径绝对正确，而且Apache运行用户（比如apache或httpd）能读取这些文件：

  sudo -u apache cat /path/to/your/simplesamlphp/cert/test1-sp.crt
  

  如果读不出来，就调整证书文件的权限（比如设为644，所属组设为apache）。
• 登录Azure门户，检查两个SP对应的企业应用：
  • 确认每个应用的实体ID和你本地authsources.php里的entityID完全一致，大小写、路径都不能错；
  • 检查“证书和机密”里上传的证书是否和本地SP配置的对应，别把test2的证书配给了test1的应用。

3. 检查Apache虚拟主机的配置 #

• 确保每个虚拟主机的SAML ACS（断言消费服务）路径正确，比如test1的ACS应该是https://test1.example.com/saml/module.php/saml/sp/saml2-acs.php/test1-sp，test2的要对应自己的域名和SP ID；
• 有没有全局的Rewrite规则或者代理设置干扰了SAML请求？可以临时注释掉虚拟主机里的非必要Rewrite规则，测试是否能正常验证。

4. 看SimpleSAMLphp日志找精准线索 #

这是最有效的排查方式！把日志级别调到DEBUG，在config.php里修改：

'logging.level' => SimpleSAML\Logger::DEBUG,

然后去日志目录（默认/var/log/simplesamlphp/）里看simplesamlphp.log，里面会详细记录：

• 验证签名时用了哪个证书；
• 断言里的Issuer（实体ID）是什么，和本地配置的是否匹配；
• 有没有加载证书失败的错误。
  从日志里基本能直接定位到问题根源。

5. 检查SAML响应的实体ID匹配 #

用浏览器开发者工具抓包，查看SAML响应的XML内容，找到<saml:Issuer>标签，确认里面的实体ID和test1的entityID完全一致。如果不一致，那就是Azure IDP那边的配置问题，需要调整对应应用的实体ID。

我之前遇到过类似的问题，就是会话共享导致证书串用，加了独立会话名就解决了，你可以先试这个方案！

备注：内容来源于stack exchange，提问作者Vin Tastic