Spring-SAML+Okta IDP发起流程遇SAML断言失败：Endpoint不匹配

我有一个基于Okta作为身份提供商（IDP）的Spring-SAML应用，在执行IDP发起的SAML流程时触发了如下异常：

org.opensaml.common.SAMLException: Endpoint with message binding urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST and URL https://<myCompanyUrl>.com/saml/SSO wasn't found in local metadata

查看本地元数据时，发现AssertionConsumerService的Location字段是自动生成的服务器IP加端口地址：

<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://<server IP address>:<server port>/saml/SSO" index="0" isDefault="true"/>

显然系统在尝试用带主机名的URL和带IP的URL做匹配，导致不匹配抛出异常。现在想知道哪个配置选项能控制这个Location字段的生成？

更新1：我的metadataGeneratorFilter配置 #

<bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter">
    <constructor-arg>
        <bean class="org.springframework.security.saml.metadata.MetadataGenerator">
            <property name="entityId" value="https://myHostname/myApp"/>
        </bean>
    </constructor-arg>
</bean>

问题原因与解决办法 #

问题根源在于MetadataGenerator默认会根据服务器的网络接口或请求上下文自动生成SAML端点地址，所以才会出现IP而非你需要的主机名。你可以通过配置以下两个属性来覆盖这个自动行为：

• entityBaseURL：这个属性会作为所有SAML端点（包括AssertionConsumerService）的基础URL。将它设置为你的主机名地址（比如https://<myCompanyUrl>.com），生成的Location就会基于这个地址拼接后续路径。
• assertionConsumerServiceURL：如果需要精准指定单个端点的完整地址，可以直接设置这个属性，它会完全覆盖自动生成的AssertionConsumerService的Location值，比如https://<myCompanyUrl>.com/saml/SSO。

修改后的配置示例如下：

<bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter">
    <constructor-arg>
        <bean class="org.springframework.security.saml.metadata.MetadataGenerator">
            <property name="entityId" value="https://myHostname/myApp"/>
            <!-- 设置基础URL，用于生成所有SAML相关端点 -->
            <property name="entityBaseURL" value="https://<myCompanyUrl>.com"/>
            <!-- 或者直接指定完整的AssertionConsumerService地址（二选一即可） -->
            <!-- <property name="assertionConsumerServiceURL" value="https://<myCompanyUrl>.com/saml/SSO"/> -->
        </bean>
    </constructor-arg>
</bean>

最后别忘了，修改配置后需要重新生成并更新本地元数据，同时将更新后的元数据同步到Okta的IDP配置中，确保两边的AssertionConsumerService地址完全一致，这样就能解决端点匹配失败的问题了。

内容的提问来源于stack exchange，提问作者JavaHead