Keycloak与Spring SAML集成报错：SigAlg was null

这个错误的核心原因是：当Keycloak启用Client Signature Required后，它要求所有通过HTTP-Redirect绑定发送的SAML请求必须携带SigAlg参数来指定签名算法，但你的Spring SAML配置在生成这类请求时没有正确传递该参数，导致Keycloak无法完成签名验证。

下面是具体的解决方案步骤：

1. 升级Spring SAML Core到最新稳定版 #

旧版本的Spring SAML Core项目在处理HTTP-Redirect绑定的SAML请求时，存在不自动添加SigAlg参数的bug。建议你升级到最新稳定版，新版本已经修复了这类签名参数缺失的问题。

2. 显式配置签名算法 #

在你的Spring配置中，为签名密钥明确指定算法，确保和Keycloak客户端配置的签名算法一致（推荐使用RSA_SHA256/RS256）：

spring:
  thymeleaf:
    cache: false
  security:
    saml2:
      service-provider:
        entity-id: spring-saml-test
        sign-metadata: false
        sign-requests: true
        want-assertions-signed: true
        keys:
          active:
            - name: key
              type: SIGNING
              algorithm: RSA_SHA256 # 显式指定签名算法
              private-key: |
                -----BEGIN RSA PRIVATE KEY-----
                SNIP
                -----END RSA PRIVATE KEY-----
              passphrase: SNIP
              certificate: |
                -----BEGIN CERTIFICATE-----
                SNIP
                -----END CERTIFICATE-----
            # 加密密钥配置保持不变
            - name: key
              type: ENCRYPTION
              private-key: |
                -----BEGIN RSA PRIVATE KEY-----
                SNIP
                -----END RSA PRIVATE KEY-----
              passphrase: SNIP
              certificate: |
                -----BEGIN CERTIFICATE-----
                SNIP
                -----END CERTIFICATE-----
        # 其他配置保持不变

3. 同步Keycloak客户端的签名配置 #

登录Keycloak后台，进入你的客户端配置页面：

• 切换到Settings标签，确保Signature Algorithm设置为RS256（和Spring SAML配置的算法一致）；
• 切换到Keys标签，在Certificate字段中粘贴你的Spring SAML签名密钥对应的证书内容，确保Keycloak能正确识别并验证你的请求签名。

4. 强制使用HTTP-POST绑定发送AuthnRequest（可选） #

如果升级版本和配置算法后问题仍存在，可以尝试强制Spring SAML使用HTTP-POST绑定发送请求。POST绑定的签名包含在请求体中，不需要在URL参数里传递SigAlg，能绕开Redirect绑定的参数缺失问题：

spring:
  security:
    saml2:
      service-provider:
        assertion-consumer-service:
          binding: urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST

5. 调试验证请求参数 #

可以通过抓包工具（比如Fiddler、Wireshark）查看发送给Keycloak的请求URL，如果是Redirect绑定，URL中应该包含SigAlg和Signature两个参数。如果没有，说明Spring SAML仍未正确生成这些参数，此时需要检查是否有自定义配置覆盖了默认的请求生成逻辑，或者考虑提交issue到Spring SAML项目仓库。

内容的提问来源于stack exchange，提问作者Phillip