PAC4J 6.1.2：JEE回调Servlet无法获取用户配置文件

问题场景 #

在Apache Tomcat 11、JDK 21环境下，使用pac4j 6.1.2结合普通Servlet实现SAML SSO流程，第三方登录重定向后的POST回调处理器中，调用client.getUserProfile()返回的profileOptional始终为空。核心代码如下：

JEEContext ctx = new JEEContext(req, res);
SessionStore sessionStore = new JEESessionStore();
CallContext callContext = new CallContext(ctx, sessionStore);

IndirectClient client = (IndirectClient) ConfigSAML.getInstance(partnerId).getClients().findClient("SAML2Client").get();
// Get credentials from the response
SAML2Credentials credentials = (SAML2Credentials) client.getCredentials(callContext).get();
Optional<UserProfile> profileOptional = client.getUserProfile(callContext, credentials);
if (profileOptional.isEmpty()) {
    LOG.error("No user profile found for the given credentials.");
    res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "No user profile found for the given credentials.");
    return null;
}
// ...后续逻辑

已完成排查 #

• 使用SAML Tracer确认SAML响应包含预期属性内容
• 验证SP元数据配置完整，包含所有预期属性
• 通过反射可从SAML2Credentials中读取属性，证明流程本身正常

临时（不推荐）的属性读取方式 #

由于6.1.2版本中SAML2Credentials移除了getAttributes()方法，通过反射实现属性读取：

Object context = credentials.getContext();
if (context != null) {
    try {
        java.lang.reflect.Method getMessageContextMethod = context.getClass().getMethod("getMessageContext");
        Object messageContext = getMessageContextMethod.invoke(context);

        java.lang.reflect.Method getMessageMethod = messageContext.getClass().getMethod("getMessage");
        Object message = getMessageMethod.invoke(messageContext);

        if (message instanceof org.opensaml.saml.saml2.core.Response samlResponse) {
            for (Assertion assertion : samlResponse.getAssertions()) {
                for (AttributeStatement stmt : assertion.getAttributeStatements()) {
                    for (Attribute attr : stmt.getAttributes()) {
                        String name = attr.getName();
                        List<String> values = new ArrayList<>();
                        for (XMLObject xmlObj : attr.getAttributeValues()) {
                            String val = xmlObj.getDOM() != null
                                    ? xmlObj.getDOM().getTextContent()
                                    : xmlObj.toString();
                            values.add(val);
                        }
                        LOG.info("Raw SAML Attribute: {} = {}", name, values);
                    }
                }
            }
        } else {
            LOG.warn("Expected SAML Response but got: {}", message != null ? message.getClass() : "null");
        }

    } catch (Exception e) {
        LOG.error("Error reflecting into SAML credentials context: {}", e.toString(), e);
    }
} else {
    LOG.warn("SAML2Credentials.getContext() returned null.");
}

问题原因与解决方案 #

1. UserProfile为空的原因 #

pac4j 6.x版本中，getUserProfile()方法依赖属性映射配置生成UserProfile。如果未配置属性映射，即便SAML响应中有属性，也不会填充到UserProfile中。

需在SAML2Client配置时添加属性映射：

SAML2Client saml2Client = new SAML2Client();
// 其他配置...
// 添加属性映射：将SAML属性名映射到UserProfile的属性名
saml2Client.setAttributes(Map.of(
    "saml_attribute_name", "profile_attribute_name",
    "email", "email",
    "displayName", "displayName"
));

同时确保SAML响应中的属性名称与配置的映射键完全匹配（注意大小写敏感）。

2. getAttributes()方法移除的原因 #

pac4j 6.x对SAML模块进行了架构重构，SAML2Credentials不再直接持有属性，而是通过getContext()暴露底层SAML上下文，目的是让开发者更灵活地访问OpenSAML原生API，减少封装耦合。

正确的属性读取方式应通过SAML2ProfileCreator或直接使用OpenSAML API，而非反射。例如自定义ProfileCreator：

public class CustomSAML2ProfileCreator extends SAML2ProfileCreator {
    @Override
    public Optional<UserProfile> create(CallContext callContext, SAML2Credentials credentials) {
        Optional<UserProfile> profile = super.create(callContext, credentials);
        if (profile.isPresent()) {
            UserProfile userProfile = profile.get();
            // 安全访问OpenSAML上下文，无需反射
            SAML2MessageContext context = (SAML2MessageContext) credentials.getContext();
            Response samlResponse = (Response) context.getMessageContext().getMessage();
            // 解析属性并添加到UserProfile
            // ...
        }
        return profile;
    }
}

将自定义ProfileCreator设置到SAML2Client：

saml2Client.setProfileCreator(new CustomSAML2ProfileCreator());

内容的提问来源于stack exchange，提问作者ldhasson