AP发起SLO场景下Saml2LogoutResponse自定义及签名问题排查

1. 抓取并分析SAML响应内容 #

• 用浏览器开发者工具（Network面板）或Wireshark抓取发送给断言方的完整SamlLogoutResponse XML，重点检查：
  • 签名算法（<ds:SignatureMethod>节点）是否与断言方支持的算法一致（常见如http://www.w3.org/2001/04/xmldsig-more#rsa-sha256）
  • 签名使用的证书（<ds:X509Certificate>节点）是否是断言方信任的有效证书（未过期、证书链完整）
  • 响应中的Destination字段是否与断言方的SLO端点完全匹配

2. 核对AP侧签名凭据配置 #

• 检查Spring配置中绑定到SAML RP的签名密钥/证书：
  • 确认使用的Saml2X509Credential是断言方元数据中注册的公钥对应的私钥对
  • 排查是否误引用了其他服务的密钥，或密钥库配置错误（比如密钥别名、密码不正确）

3. 开启SAML详细日志 #

• 在application.properties或application.yml中添加日志配置：

  logging.level.org.springframework.security.saml=DEBUG
  logging.level.org.opensaml=DEBUG
  

• 查看日志中签名生成的全过程：包括使用的密钥别名、签名算法，以及完整的响应XML，对比断言方的错误日志（若可获取）定位具体失败环节

4. 手动验证签名有效性 #

• 将抓取到的SamlLogoutResponse XML保存为文件，用OpenSSL手动验证签名：

  openssl dgst -sha256 -verify ap-public-key.pem -signature signature.bin response.xml
  

• 若手动验证通过，问题大概率出在断言方的配置（如信任证书未更新、算法不兼容）

官方文档示例存在类型不匹配问题（误将Saml2LogoutResponseResolver传给logoutRequestResolver方法），正确配置方式如下：

1. 自定义Resolver实现 #

继承DefaultSaml2LogoutResponseResolver，重写方法添加日志或自定义签名逻辑：

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.security.saml2.provider.service.authentication.logout.DefaultSaml2LogoutResponseResolver;
import org.springframework.security.saml2.provider.service.authentication.logout.Saml2LogoutRequest;
import org.springframework.security.saml2.provider.service.authentication.logout.Saml2LogoutResponse;
import org.springframework.security.saml2.provider.service.registration.Saml2X509Credential;
import jakarta.servlet.http.HttpServletRequest;
import org.springframework.security.core.Authentication;
import org.springframework.stereotype.Component;

@Component
public class CustomSaml2LogoutResponseResolver extends DefaultSaml2LogoutResponseResolver {
    private static final Logger logger = LoggerFactory.getLogger(CustomSaml2LogoutResponseResolver.class);

    @Override
    protected Saml2LogoutResponse resolveInternal(HttpServletRequest request,
                                                  Authentication authentication,
                                                  Saml2LogoutRequest saml2LogoutRequest) {
        Saml2LogoutResponse response = super.resolveInternal(request, authentication, saml2LogoutRequest);
        
        // 日志记录响应XML及签名凭据信息
        logger.debug("Generated SAML Logout Response XML:\n{}", response.getSaml2Response());
        Saml2X509Credential signingCredential = response.getSigningCredential();
        if (signingCredential != null) {
            logger.info("Signing Logout Response with credential alias: {}", signingCredential.getAlias());
        }
        
        // 可在此处自定义签名逻辑，比如强制指定特定密钥
        // response.setSigningCredential(customCredential);
        
        return response;
    }
}

2. 在SecurityFilterChain中配置Resolver #

将自定义Resolver绑定到saml2Logout()的logoutResponseResolver方法，而非logoutRequestResolver：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;

@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http,
                                                   CustomSaml2LogoutResponseResolver customLogoutResponseResolver) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .saml2Login(withDefaults())
            .saml2Logout(logout -> logout
                .logoutResponseResolver(customLogoutResponseResolver) // 正确绑定LogoutResponseResolver
            );
        return http.build();
    }
}

注意事项 #

• 若使用基于元数据的RelyingPartyRegistration，确保自定义Resolver能从RelyingPartyRegistration中正确获取签名凭据，避免硬编码密钥
• 自定义签名逻辑时，需保证使用的密钥对与断言方信任的公钥完全匹配

内容的提问来源于stack exchange，提问作者Kartik