SOAP序列化反序列化后如何保持SAML断言命名空间范围不变？

这个问题我之前碰到过类似的情况——核心矛盾就是OpenSAML会把saml2命名空间仅声明在Assertion元素上，而JAXB默认会把命名空间声明提升到父元素（也就是SOAPEnvelope），同时还改了前缀，导致服务器端的SAML验证逻辑识别失败。好在咱们可以通过配置和自定义处理来解决，具体步骤如下：

1. 配置JAXB强制保留命名空间前缀与声明位置 #

JAXB默认的行为是把所有用到的命名空间都预声明在根元素上，咱们得通过自定义配置来改变这个逻辑：

步骤1：添加包级别的命名空间映射 #

在你的SOAP消息对应的Java包下创建package-info.java，明确指定saml2前缀对应SAML 2.0的断言命名空间，并且设置元素的命名空间形式：

@XmlSchema(
    namespace = "http://schemas.xmlsoap.org/soap/envelope/",
    elementFormDefault = XmlNsForm.QUALIFIED,
    xmlns = {
        @XmlNs(prefix = "saml2", namespaceURI = "urn:oasis:saml:2.0:assertion")
    }
)
package com.your.soap.package;

import javax.xml.bind.annotation.XmlNs;
import javax.xml.bind.annotation.XmlNsForm;
import javax.xml.bind.annotation.XmlSchema;

步骤2：自定义NamespacePrefixMapper控制命名空间声明 #

创建自定义的前缀映射器，禁止JAXB在根元素预声明saml2命名空间，只让它在Assertion元素上声明：

public class SAMLNamespacePrefixMapper extends NamespacePrefixMapper {
    @Override
    public String getPreferredPrefix(String namespaceUri, String suggestion, boolean requirePrefix) {
        // 给SAML断言命名空间指定固定前缀saml2
        if ("urn:oasis:saml:2.0:assertion".equals(namespaceUri)) {
            return "saml2";
        }
        // 其他命名空间用默认逻辑
        return suggestion;
    }

    @Override
    public String[] getPreDeclaredNamespaceUris() {
        // 返回空数组，避免在SOAPEnvelope上预声明saml2命名空间
        return new String[0];
    }
}

步骤3：初始化JAXBContext时加载自定义映射器 #

在创建JAXBContext的时候，把自定义的前缀映射器作为属性传入：

Map<String, Object> jaxbProps = new HashMap<>();
// 注意：不同JAXB实现的属性名可能有差异，比如EclipseLink用的是"eclipselink.namespace-prefix-mapper"
jaxbProps.put("com.sun.xml.bind.namespacePrefixMapper", new SAMLNamespacePrefixMapper());
JAXBContext jaxbContext = JAXBContext.newInstance(YourSOAPEnvelopeClass.class, jaxbProps);

2. 确认OpenSAML的序列化配置 #

确保OpenSAML生成的XML中，saml2命名空间确实只在Assertion元素上声明。可以检查Marshaller的配置：

MarshallerFactory marshallerFactory = Configuration.getMarshallerFactory();
Marshaller assertionMarshaller = marshallerFactory.getMarshaller(yourSAMLAssertion);
// 指定固定前缀saml2
assertionMarshaller.setProperty(Marshaller.PROPERTY_NAMESPACE_PREFIX, "saml2");
// 强制在当前元素声明命名空间，不向上传递
assertionMarshaller.setProperty(Marshaller.PROPERTY_INCLUDE_NAMESPACE_DECLARATIONS, Boolean.TRUE);

3. 备选方案：序列化后手动修正XML结构 #

如果平台的JAXB序列化器是定制的，没办法修改配置，那可以在序列化完成后，用DOM操作手动调整命名空间的位置：

// 假设已经得到序列化后的SOAP文档
Document soapDoc = ...;
Element soapEnvelope = soapDoc.getDocumentElement();

// 找到Assertion元素
Node assertionNode = soapEnvelope.getElementsByTagNameNS("urn:oasis:saml:2.0:assertion", "Assertion").item(0);
if (assertionNode instanceof Element) {
    Element assertionElem = (Element) assertionNode;
    // 移除SOAPEnvelope上的saml命名空间声明
    soapEnvelope.removeAttribute("xmlns:saml");
    // 在Assertion元素上添加saml2命名空间声明
    assertionElem.setAttribute("xmlns:saml2", "urn:oasis:saml:2.0:assertion");
    // 把Assertion的前缀改成saml2
    assertionElem.setPrefix("saml2");
}

通过以上方法，就能让JAXB生成的XML和OpenSAML原始输出完全一致，保持SAML命名空间的声明范围不变，服务器端的验证也就不会出错了。

内容的提问来源于stack exchange，提问作者Jialun Liu