WSO2 Identity Server：SAML认证成功监听及外部IDP对接咨询

我来帮你解决这个问题，在WSO2 Identity Server 5.4.1+版本里，当作为SAML SP对接第三方IDP时，你用的UserOperationEventListener确实不会触发——因为它主要针对本地用户的操作事件。不过有两种可靠的方式可以捕获这类外部IDP的认证成功事件，满足你的审计需求：

WSO2 IS的认证框架在所有认证流程（包括外部SAML IDP的认证）完成后，都会调用认证成功处理器。你可以通过扩展这个组件来注入审计逻辑：

1. 实现自定义处理器类
   创建一个类实现org.wso2.carbon.identity.application.authentication.framework.handler.auth.AuthenticationSuccessHandler接口，重写handle()方法。在这里你可以获取完整的认证上下文，提取SAML相关的关键信息（比如第三方IDP名称、用户标识、认证时间），然后执行审计操作：

public class CustomSAMLSuccessHandler implements AuthenticationSuccessHandler {
    @Override
    public boolean handle(HttpServletRequest request, HttpServletResponse response, AuthenticationContext context) throws FrameworkException {
        // 提取SAML认证核心信息
        String externalIdpName = context.getExternalIdP();
        String authenticatedUser = context.getSubject().getIdentifier();
        long authTimestamp = context.getAuthenticatedTime();
        
        // 这里替换成你的审计逻辑，比如写入审计日志、推送至审计系统等
        performAuditLogging(externalIdpName, authenticatedUser, authTimestamp);
        
        // 调用默认处理器继续完成后续流程（比如跳转回应用）
        return DefaultAuthenticationSuccessHandler.handle(request, response, context);
    }
}

2. 注册自定义处理器
   将打包好的jar文件放到repository/components/dropins目录，然后修改repository/conf/identity/application-authentication.xml：找到<AuthenticationSuccessHandlers>节点，添加你的处理器配置，根据需求调整执行顺序（比如放在默认处理器之前）：

<AuthenticationSuccessHandler name="CustomSAMLSuccessHandler"
                              class="com.yourcompany.handlers.CustomSAMLSuccessHandler"
                              enabled="true"/>

WSO2 IS内置了事件驱动机制，当任何认证成功时都会触发AUTHENTICATION_SUCCESS事件，你可以通过实现事件监听器来捕获这个事件，筛选出SAML IDP的认证请求：

1. 实现事件监听器类
   创建类实现org.wso2.carbon.identity.core.event.IdentityEventListener接口，重写handleEvent()方法，判断事件类型并提取SAML认证相关信息：

public class CustomSAMLAuthenticationListener implements IdentityEventListener {
    @Override
    public boolean handleEvent(IdentityEvent identityEvent) throws IdentityEventException {
        // 只处理认证成功事件
        if (IdentityEventConstants.Event.AUTHENTICATION_SUCCESS.equals(identityEvent.getEventName())) {
            Map<String, Object> eventProps = identityEvent.getEventProperties();
            AuthenticationContext authContext = (AuthenticationContext) eventProps.get(IdentityEventConstants.Property.AUTHENTICATION_CONTEXT);
            
            // 筛选出外部SAML IDP的认证请求
            if (authContext != null && authContext.getExternalIdP() != null 
                && "SAMLSSOAuthenticator".equals(authContext.getAuthenticator().getName())) {
                
                String idpName = authContext.getExternalIdP();
                String username = authContext.getSubject().getIdentifier();
                // 执行审计逻辑
                performAuditLogging(idpName, username, System.currentTimeMillis());
            }
        }
        return true;
    }

    @Override
    public boolean isEnable() {
        return true;
    }
}

2. 注册事件监听器
   同样将jar包放到dropins目录，然后修改repository/conf/identity/identity.xml：找到<EventListeners>节点，添加你的监听器配置：

<EventListener type="org.wso2.carbon.identity.core.event.IdentityEventListener" 
               name="com.yourcompany.listeners.CustomSAMLAuthenticationListener" 
               enable="true"/>

额外提示 #

• 两种方案都需要重启WSO2 IS才能生效。
• 如果你需要区分不同类型的外部IDP，可以通过authContext.getAuthenticator().getName()判断认证器类型，SAML认证对应的是SAMLSSOAuthenticator。
• 审计逻辑里可以根据需求提取更多信息，比如请求IP、应用ID等，这些都可以从AuthenticationContext中获取。

内容的提问来源于stack exchange，提问作者Hos