我正在尝试使用Spring Security SAML扩展将SAML SSO与Spring Security集成。之前，我成功运行了此处找到的概念证明:https://github.com/vdenotaris/spring-boot-security-saml-sample。不幸的是，将配置移到我的项目后，它无法正常工作。
在分析日志之后，我发现我的应用程序(SP)正在正确地从提供的URL下载IdP元数据。但是，尝试通过在浏览器中尝试https://localhost:8443/saml/metadata下载我的SP的元数据后，将引发以下异常:
javax.servlet.ServletException: Error initializing metadata
at org.springframework.security.saml.metadata.MetadataDisplayFilter.processMetadataDisplay(MetadataDisplayFilter.java:120)
at org.springframework.security.saml.metadata.MetadataDisplayFilter.doFilter(MetadataDisplayFilter.java:88)
at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:330)
at org.springframework.security.web.FilterChainProxy.doFilterInternal(FilterChainProxy.java:213)
at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:176)
at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:346)
at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:262)
at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1645)
at org.eclipse.jetty.servlet.ServletHandler.doHandle(ServletHandler.java:564)
at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:143)
at org.eclipse.jetty.security.SecurityHandler.handle(SecurityHandler.java:578)
at org.eclipse.jetty.server.session.SessionHandler.doHandle(SessionHandler.java:221)
at org.eclipse.jetty.server.handler.ContextHandler.doHandle(ContextHandler.java:1111)
at org.eclipse.jetty.servlet.ServletHandler.doScope(ServletHandler.java:498)
at org.eclipse.jetty.server.session.SessionHandler.doScope(SessionHandler.java:183)
at org.eclipse.jetty.server.handler.ContextHandler.doScope(ContextHandler.java:1045)
at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:141)
at org.eclipse.jetty.server.handler.HandlerWrapper.handle(HandlerWrapper.java:98)
at org.eclipse.jetty.server.Server.handle(Server.java:461)
at org.eclipse.jetty.server.HttpChannel.handle(HttpChannel.java:284)
at org.eclipse.jetty.server.HttpConnection.onFillable(HttpConnection.java:244)
at org.eclipse.jetty.io.AbstractConnection$2.run(AbstractConnection.java:534)
at org.eclipse.jetty.util.thread.QueuedThreadPool.runJob(QueuedThreadPool.java:607)
at org.eclipse.jetty.util.thread.QueuedThreadPool$3.run(QueuedThreadPool.java:536)
at java.lang.Thread.run(Thread.java:745)
Caused by: org.opensaml.saml2.metadata.provider.MetadataProviderException: No hosted service provider is configured and no alias was selected
at org.springframework.security.saml.context.SAMLContextProviderImpl.populateLocalEntity(SAMLContextProviderImpl.java:311)
at org.springframework.security.saml.context.SAMLContextProviderImpl.populateLocalContext(SAMLContextProviderImpl.java:216)
at org.springframework.security.saml.context.SAMLContextProviderImpl.getLocalEntity(SAMLContextProviderImpl.java:107)
at org.springframework.security.saml.metadata.MetadataDisplayFilter.processMetadataDisplay(MetadataDisplayFilter.java:114)
... 24 more
调试之后，我无法弄清为什么Spring无法弄清我的应用程序的实体ID。我是这样设置的:
// Filter automatically generates default SP metadata
@Bean
public MetadataGenerator metadataGenerator() {
MetadataGenerator metadataGenerator = new MetadataGenerator();
metadataGenerator.setEntityId(environment.getRequiredProperty("saml.entity-id"));
metadataGenerator.setEntityBaseURL("URL is here");
metadataGenerator.setExtendedMetadata(extendedMetadata());
metadataGenerator.setIncludeDiscoveryExtension(false);
metadataGenerator.setKeyManager(keyManager());
return metadataGenerator;
}
当然，可以从我的配置中正确下载saml.entity-id属性。整个安全配置在这里:https://gist.github.com/mc-suchecki/671ecb4d5ae4bae17f81
筛选器的顺序正确-元数据生成器筛选器在SAML筛选器之前。我不确定是否相关-我想不是-但我的应用程序未使用Spring Boot-样例应用程序(配置的源)是。
预先感谢您的任何帮助。
参考方案
我这周发现了问题。过滤器出现问题。方法之一是创建“samlFilter”，如下所示:
public FilterChainProxy samlFilter() throws Exception {
List<SecurityFilterChain> chains = new ArrayList<SecurityFilterChain>();
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/login/**"), samlEntryPoint()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/logout/**"), samlLogoutFilter()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/metadata/**"),
metadataDisplayFilter()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSO/**"),
samlWebSSOProcessingFilter()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSOHoK/**"),
samlWebSSOHoKProcessingFilter()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SingleLogout/**"),
samlLogoutProcessingFilter()));
chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/discovery/**"), samlIDPDiscovery()));
return new FilterChainProxy(chains);
}
之后，另一种方法是为Spring设置整个过滤器链，如下所示:
@Override
protected void configure(HttpSecurity http) throws Exception {
http.httpBasic().authenticationEntryPoint(samlEntryPoint());
http.csrf().disable();
http.addFilterBefore(metadataGeneratorFilter(), ChannelProcessingFilter.class)
.addFilterAfter(samlFilter(), BasicAuthenticationFilter.class);
http.authorizeRequests().antMatchers("/").permitAll().antMatchers("/error").permitAll()
.antMatchers("/saml/**").permitAll().anyRequest().authenticated();
http.logout().logoutSuccessUrl("/");
}
那是完全正确的。但是，当我使用Jetty服务器启动应用程序时，我试图仅将'samlFilter'连接到应用程序上下文。因此，根本不需要将“metadataDisplayFilter”之前的“metadataGeneratorFilter”添加到过滤器链中。当我将'samlFilter'更改为'springSecurityFilter'时，一切开始正常工作。由于我对Jetty的非标准使用，这很难找到。
谢谢您的帮助!
Spring Security @Secured批注和用户权限 - java这是关于Spring v.4（MVC +安全性）的。我已经实现了UserDetailsServiceImpl，其中在loadUserByUsername方法内部向用户授予了其权限。说的很简单：public UserDetails loadUserByUsername(String username) { ... Collection<GrantedAu…
Spring Security更改登录用户的角色不会立即生效 - java我正在使用Spring Security 3.2。在更改其角色后，我可以动态地重新加载当前用户的授权：UserDetailsImpl userDetails = new UserDetailsImpl(dao.getEntity(User.class,currentUserService.getUserDetails().getUsername())); A…
Spring Security不允许加载CSS或JS资源 - java该资源位于src / main / resources / static / css或src / main / resources / static / js下，我使用的是Spring Boot，安全级别为:@Configuration @EnableWebMvcSecurity @EnableGlobalAuthentication public clas…
春季安全值得付出努力 - java我一直在关注春季安全性，并注意到它是多么大的包装。我想知道是否值得花一些时间来加强这一点。Spring Security 2.0+为您节省了大量时间，还是以任何方式简化了您的项目？ java参考方案 几年前，我考虑将其用于Spring项目，并选择了它，因为它是一个非常繁琐的框架，恕我直言，它提供的灵活性不是必需的。 （据我估计）减少我们自己的身份验证/授权的…
Spring MVC中的输入验证 - java我知道Commons Validator框架是Struts项目在服务器端和客户端验证输入值的事实上的标准。Spring MVC项目是否也是如此？我得到的印象可能不是，大多数Struts书籍和论坛都谈论Commons Validator框架，但是只有少数Spring书籍和论坛可以。在Spring MVC项目中验证输入的最佳实践是什么？干杯! 参考方案 在引入S…