Okta/Spring Boot SAML应用陷入无限循环问题求助

从你提供的异常日志来看，核心问题是**CredentialsExpiredException**——Okta返回的SAML断言的认证时间已经超出了Spring SAML允许的有效范围，导致验证失败。应用因此重定向到Okta重新登录，但浏览器中留存的旧会话Cookie会触发重复验证，最终陷入无限循环。清Cookie能临时解决，是因为旧会话被清除，重新生成了有效会话，但一段时间后复发，说明是配置不匹配或时钟同步问题。

下面是具体的排查和解决步骤：

1. 优先检查服务器时钟同步 #

Spring SAML会严格校验SAML断言的NotBefore和NotOnOrAfter时间戳，如果你的应用服务器和Okta的系统时钟偏差过大（比如超过几分钟），就会导致合法的断言被判定为过期。

• 用date命令（Linux）或查看系统时间（Windows）确认应用服务器的时间是否准确；
• 配置NTP服务校准服务器时钟，确保和全球标准时间同步。

2. 调整Spring SAML的时间容忍配置 #

你可以修改Spring SAML对断言有效期的容忍度，适配实际场景：

调整最大认证时长 #

在你的SAML配置类中，重新定义webSSOProfileConsumer Bean，设置更长的maxAuthenticationAge（默认是7200秒/2小时）：

@Bean
public WebSSOProfileConsumer webSSOProfileConsumer() {
    WebSSOProfileConsumerImpl consumer = new WebSSOProfileConsumerImpl();
    consumer.setMaxAuthenticationAge(86400); // 设置为24小时，可根据业务需求调整
    return consumer;
}

允许时钟偏差 #

同时，配置SAMLContextProviderImpl的clockSkew参数，允许一定的时钟误差：

@Bean
public SAMLContextProviderImpl contextProvider() {
    SAMLContextProviderImpl provider = new SAMLContextProviderImpl();
    provider.setClockSkew(300); // 允许5分钟的时钟偏差
    return provider;
}

3. 对齐Okta与应用的会话/断言有效期 #

登录Okta管理后台，找到你的SAML应用配置，检查以下设置：

• Session Duration：Okta用户会话的有效期；
• Assertion Expiration：SAML断言的过期时间。
  确保这些值和Spring SAML的maxAuthenticationAge、应用的会话超时时间保持一致。比如，如果Okta设置会话时长为8小时，那么Spring SAML的maxAuthenticationAge也应设置为不小于8小时，同时调整应用的会话超时：
  在application.properties中添加：

server.servlet.session.timeout=28800s # 8小时，和Okta会话时长对齐

4. 配置认证失败的处理逻辑 #

为了避免无限循环，在Spring Security配置中添加认证失败处理器，清除旧会话并重定向到登录入口：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
        .and()
        .apply(saml())
            .userDetailsService(userDetailsService())
            .failureHandler((request, response, exception) -> {
                // 清除会话
                request.getSession().invalidate();
                // 重定向到SAML登录页面
                response.sendRedirect("/saml/login");
            });
}

5. 额外排查建议 #

• 开启Spring SAML的DEBUG日志，查看断言的具体时间戳，确认是时钟问题还是配置不匹配：
  在application.properties中添加：

  logging.level.org.springframework.security.saml=DEBUG
  

• 检查浏览器Cookie，确认JSESSIONID等会话Cookie是否在断言过期后仍未失效，导致应用复用旧会话。

内容的提问来源于stack exchange，提问作者Mukhamedali Zhadigerov