Keycloak v26导入v15客户端后SAML响应提示"无效签名"求助

核心结论 #

仅版本升级本身不强制要求更新JBoss服务提供商证书，但v15到v26的跨版本迭代中，SAML签名验证逻辑的强化、证书格式兼容性变化，或是导入配置时的证书关联丢失，都可能触发“无效签名”错误，需针对性检查处理。

具体分析与处理建议 #

• 签名验证逻辑的版本差异
  Keycloak从v15到v26对SAML签名校验做了多项安全强化：默认启用更严格的签名算法校验、提升证书链完整性要求，v15中允许的宽松配置（如SHA-1算法的自签名证书）在v26中会被默认拦截，导致原本可用的证书被判定无效。

• 客户端导入后的证书关联问题
  直接导入v15客户端配置时，服务提供商的签名/加密证书可能未被正确关联到v26的客户端实例。比如v15中证书的存储路径、标识符在v26中发生变更，导入后客户端无法读取对应公钥完成签名验证。

• 是否需要更新证书？

  • 若原证书合规（使用SHA-256及以上算法、在有效期内、证书链完整），无需更新，只需确保v26客户端配置中证书关联正确：
    1. 进入Keycloak控制台，找到目标SAML客户端，切换到Keys标签页，确认签名/加密证书已正确配置，公钥可正常读取。
    2. 检查SAML Settings中的签名算法，确保与证书支持的算法一致（v26默认推荐SHA256withRSA，若原证书用SHA-1则必须更新）。
  • 若原证书使用已废弃算法（如SHA-1）或已过期，必须生成符合v26安全要求的新证书，同步更新到服务提供商和Keycloak客户端配置中。

• 快速排查步骤

  1. 查看Keycloak服务器日志（v26默认路径为quarkus/log/keycloak.log），定位“无效签名”的详细错误信息，确认是证书不被信任、算法不支持还是公钥不匹配。
  2. 导出v15客户端的证书公钥，在v26客户端的Trusted Certificates列表中手动添加，替代自动导入的配置。
  3. 临时排查用（禁止生产环境）：将客户端SAML Settings中的Require Signature设为false，若能正常访问，可确认是签名相关的证书/算法问题。

内容的提问来源于stack exchange，提问作者Shadab