Spring?Boot?基于?SAML?實現(xiàn)單點登錄原理解析
更新時間：2025年06月13日 10:03:19 作者：一切皆有跡可循
基于SAML在 Spring Boot 中實現(xiàn)單點登錄雖然有一定的復(fù)雜度,但能為企業(yè)級應(yīng)用帶來強大的身份驗證和授權(quán)功能,本文將詳細介紹在 Spring Boot中基于SAML實現(xiàn)單點登錄的原理、方式、優(yōu)缺點及注意事項,并給出具體代碼示例,感興趣的朋友一起看看吧
前言
在企業(yè)級應(yīng)用開發(fā)中，單點登錄（SSO）能顯著提升用戶體驗和系統(tǒng)安全性。安全斷言標(biāo)記語言（SAML）作為一種廣泛應(yīng)用的 XML 標(biāo)準(zhǔn)，可在不同安全域之間交換身份驗證和授權(quán)數(shù)據(jù)。本文將詳細介紹在 Spring Boot 中基于 SAML 實現(xiàn)單點登錄的原理、方式、優(yōu)缺點及注意事項，并給出具體代碼示例。
一、SAML 實現(xiàn)單點登錄原理
1.1 SAML 基本概念
SAML 定義了三種主要角色：身份提供者（IdP）、服務(wù)提供者（SP）和用戶。IdP 負責(zé)驗證用戶身份，SP 是用戶請求訪問的應(yīng)用，用戶則是使用系統(tǒng)的個體。SAML 通過斷言（Assertion）來傳遞身份驗證和授權(quán)信息。
1.2 單點登錄流程
- 用戶訪問 SP：用戶嘗試訪問 SP 的受保護資源，若未認證，SP 生成 SAML 請求。
- 重定向到 IdP：SP 將用戶重定向到 IdP 的登錄頁面，并附帶 SAML 請求。
- 用戶登錄 IdP：用戶在 IdP 輸入憑據(jù)進行身份驗證。
- IdP 生成 SAML 斷言：驗證通過后，IdP 創(chuàng)建包含用戶身份和授權(quán)信息的 SAML 斷言。
- 返回 SAML 響應(yīng)：IdP 將 SAML 響應(yīng)（包含斷言）發(fā)送給 SP。
- SP 驗證 SAML 響應(yīng)：SP 驗證響應(yīng)的簽名和內(nèi)容，若有效則創(chuàng)建本地會話，允許用戶訪問資源。
二、Spring Boot 基于 SAML 實現(xiàn)單點登錄的方式
2.1 準(zhǔn)備工作
創(chuàng)建 Spring Boot 項目，在 pom.xml 中添加必要依賴：
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.security.extensions</groupId>
<artifactId>spring-security-saml2-core</artifactId>
<version>1.0.10.RELEASE</version>
</dependency>
</dependencies>2.2 配置 SAML
創(chuàng)建 SAMLConfig 類來配置 SAML 相關(guān)信息：
import org.opensaml.saml2.metadata.provider.MetadataProvider;
import org.opensaml.saml2.metadata.provider.MetadataProviderException;
import org.opensaml.saml2.metadata.provider.ResourceBackedMetadataProvider;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.io.ClassPathResource;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.saml.SAMLAuthenticationProvider;
import org.springframework.security.saml.SAMLBootstrap;
import org.springframework.security.saml.SAMLEntryPoint;
import org.springframework.security.saml.SAMLLogoutFilter;
import org.springframework.security.saml.SAMLLogoutProcessingFilter;
import org.springframework.security.saml.SAMLProcessingFilter;
import org.springframework.security.saml.context.SAMLContextProviderImpl;
import org.springframework.security.saml.key.JKSKeyManager;
import org.springframework.security.saml.metadata.CachingMetadataManager;
import org.springframework.security.saml.metadata.ExtendedMetadata;
import org.springframework.security.saml.metadata.ExtendedMetadataDelegate;
import org.springframework.security.saml.parser.ParserPoolHolder;
import org.springframework.security.saml.util.VelocityFactory;
import org.springframework.security.saml.websso.WebSSOProfileConsumer;
import org.springframework.security.saml.websso.WebSSOProfileConsumerImpl;
import org.springframework.security.saml.websso.WebSSOProfileOptions;
import org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler;
import org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler;
import org.springframework.security.web.authentication.logout.LogoutHandler;
import org.springframework.security.web.authentication.logout.SecurityContextLogoutHandler;
import org.springframework.security.web.authentication.logout.SimpleUrlLogoutSuccessHandler;
import org.springframework.security.web.authentication.www.BasicAuthenticationFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import java.io.IOException;
import java.util.Arrays;
import java.util.Collections;
import java.util.List;
@Configuration
@EnableWebSecurity
public class SAMLConfig extends WebSecurityConfigurerAdapter {
@Bean
public SAMLBootstrap sAMLBootstrap() {
return new SAMLBootstrap();
}
@Bean
public SAMLEntryPoint samlEntryPoint() {
WebSSOProfileOptions webSSOProfileOptions = new WebSSOProfileOptions();
webSSOProfileOptions.setIncludeScoping(false);
SAMLEntryPoint samlEntryPoint = new SAMLEntryPoint();
samlEntryPoint.setDefaultProfileOptions(webSSOProfileOptions);
return samlEntryPoint;
}
@Bean
public SAMLProcessingFilter samlWebSSOProcessingFilter() throws Exception {
SAMLProcessingFilter samlWebSSOProcessingFilter = new SAMLProcessingFilter();
samlWebSSOProcessingFilter.setAuthenticationManager(authenticationManager());
samlWebSSOProcessingFilter.setAuthenticationSuccessHandler(successRedirectHandler());
samlWebSSOProcessingFilter.setAuthenticationFailureHandler(authenticationFailureHandler());
return samlWebSSOProcessingFilter;
}
@Bean
public SavedRequestAwareAuthenticationSuccessHandler successRedirectHandler() {
SavedRequestAwareAuthenticationSuccessHandler successRedirectHandler = new SavedRequestAwareAuthenticationSuccessHandler();
successRedirectHandler.setDefaultTargetUrl("/");
return successRedirectHandler;
}
@Bean
public SimpleUrlAuthenticationFailureHandler authenticationFailureHandler() {
SimpleUrlAuthenticationFailureHandler failureHandler = new SimpleUrlAuthenticationFailureHandler();
failureHandler.setUseForward(true);
failureHandler.setDefaultFailureUrl("/error");
return failureHandler;
}
@Bean
public SAMLAuthenticationProvider samlAuthenticationProvider() {
SAMLAuthenticationProvider samlAuthenticationProvider = new SAMLAuthenticationProvider();
samlAuthenticationProvider.setUserDetails(samlUserDetailsService());
samlAuthenticationProvider.setForcePrincipalAsString(false);
return samlAuthenticationProvider;
}
@Bean
public SAMLUserDetailsService samlUserDetailsService() {
return new SAMLUserDetailsService();
}
@Bean
public CachingMetadataManager metadata() throws MetadataProviderException {
List<MetadataProvider> providers = Collections.singletonList(idpMetadata());
return new CachingMetadataManager(providers);
}
@Bean
public ExtendedMetadataDelegate idpMetadata() throws MetadataProviderException {
ResourceBackedMetadataProvider provider = new ResourceBackedMetadataProvider(
() -> new ClassPathResource("/idp-metadata.xml").getInputStream(),
ParserPoolHolder.getPool());
ExtendedMetadata extendedMetadata = new ExtendedMetadata();
extendedMetadata.setIdpDiscoveryEnabled(false);
return new ExtendedMetadataDelegate(provider, extendedMetadata);
}
@Bean
public WebSSOProfileConsumer webSSOprofileConsumer() {
return new WebSSOProfileConsumerImpl();
}
@Bean
public JKSKeyManager keyManager() {
java.util.Map<String, String> passwords = Collections.singletonMap("apollo", "apollo");
return new JKSKeyManager(new ClassPathResource("samlKeystore.jks"), passwords, "apollo");
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.httpBasic().disable()
.csrf().disable()
.addFilterBefore(samlMetadataFilter(), BasicAuthenticationFilter.class)
.addFilterAfter(samlWebSSOProcessingFilter(), BasicAuthenticationFilter.class)
.addFilterBefore(samlLogoutProcessingFilter(), BasicAuthenticationFilter.class)
.addFilterBefore(samlLogoutFilter(), BasicAuthenticationFilter.class)
.authorizeRequests()
.antMatchers("/saml/**").permitAll()
.anyRequest().authenticated()
.and()
.exceptionHandling()
.authenticationEntryPoint(samlEntryPoint());
}
@Bean
public SAMLLogoutProcessingFilter samlLogoutProcessingFilter() {
return new SAMLLogoutProcessingFilter(logoutSuccessHandler(), new SecurityContextLogoutHandler());
}
@Bean
public SAMLLogoutFilter samlLogoutFilter() {
return new SAMLLogoutFilter(logoutSuccessHandler(),
new LogoutHandler[]{logoutHandler()},
new LogoutHandler[]{logoutHandler()});
}
@Bean
public SimpleUrlLogoutSuccessHandler logoutSuccessHandler() {
SimpleUrlLogoutSuccessHandler successHandler = new SimpleUrlLogoutSuccessHandler();
successHandler.setDefaultTargetUrl("/");
return successHandler;
}
@Bean
public LogoutHandler logoutHandler() {
SecurityContextLogoutHandler logoutHandler = new SecurityContextLogoutHandler();
logoutHandler.setInvalidateHttpSession(true);
logoutHandler.setClearAuthentication(true);
return logoutHandler;
}
@Bean
public SAMLMetadataFilter samlMetadataFilter() {
return new SAMLMetadataFilter(metadata(), new ExtendedMetadata());
}
}2.3 創(chuàng)建用戶詳情服務(wù)
創(chuàng)建 SAMLUserDetailsService 類來處理用戶信息：
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.saml.SAMLUserDetailsService;
import org.springframework.stereotype.Service;
import java.util.ArrayList;
import java.util.Collection;
@Service
public class SAMLUserDetailsService implements SAMLUserDetailsService {
@Override
public UserDetails loadUserBySAML(org.opensaml.saml2.core.Assertion assertion) {
String username = assertion.getSubject().getNameID().getValue();
Collection<GrantedAuthority> authorities = new ArrayList<>();
authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
return new User(username, "", authorities);
}
}2.4 提供受保護資源
創(chuàng)建一個簡單的控制器來提供受保護的資源：
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class ProtectedResourceController {
@GetMapping("/protected")
public String protectedResource() {
return "This is a protected resource accessed via SAML SSO.";
}
}三、優(yōu)缺點分析
3.1 優(yōu)點
- 企業(yè)級支持：SAML 是為企業(yè)環(huán)境設(shè)計的，眾多企業(yè)級應(yīng)用和服務(wù)都支持 SAML，方便企業(yè)內(nèi)部不同系統(tǒng)之間的集成。
- 安全性高：使用 XML 格式的斷言進行身份驗證和授權(quán)，支持數(shù)字簽名和加密，能有效防止信息篡改和偽造。
- 標(biāo)準(zhǔn)化程度高：作為開放標(biāo)準(zhǔn)，具有良好的互操作性和兼容性，不同廠商的系統(tǒng)之間可以方便地進行集成。
3.2 缺點
- 實現(xiàn)復(fù)雜度高：涉及復(fù)雜的 XML 格式和協(xié)議規(guī)范，開發(fā)者需要對 SAML 有深入的理解，實現(xiàn)難度較大。
- 配置繁瑣：需要處理大量的元數(shù)據(jù)，包括服務(wù)提供商和身份提供商的元數(shù)據(jù)，配置過程容易出錯。
四、需要注意的問題和難點
4.1 元數(shù)據(jù)管理
元數(shù)據(jù)包含了 SP 和 IdP 的配置信息，如端點 URL、證書等。需要確保元數(shù)據(jù)的準(zhǔn)確性和及時性，并且在元數(shù)據(jù)發(fā)生變化時及時更新。
4.2 證書管理
SAML 中使用證書進行簽名和加密，需要妥善管理證書的生成、存儲和更新。確保證書的有效期和安全性，防止證書泄露導(dǎo)致的安全問題。
4.3 錯誤處理
在 SAML 交互過程中，可能會出現(xiàn)各種錯誤，如簽名驗證失敗、斷言過期等。需要實現(xiàn)完善的錯誤處理機制，向用戶提供明確的錯誤信息。
4.4 兼容性問題
不同的 IdP 和 SP 可能對 SAML 標(biāo)準(zhǔn)的實現(xiàn)存在細微差異，需要進行充分的測試，確保在不同的環(huán)境下都能正常工作。
結(jié)語
基于 SAML 在 Spring Boot 中實現(xiàn)單點登錄雖然有一定的復(fù)雜度，但能為企業(yè)級應(yīng)用帶來強大的身份驗證和授權(quán)功能。通過本文的介紹，你了解了 SAML 單點登錄的原理、實現(xiàn)方式、優(yōu)缺點以及需要注意的問題。在實際應(yīng)用中，要根據(jù)具體需求和場景進行合理配置和優(yōu)化，以確保系統(tǒng)的安全性和穩(wěn)定性。
到此這篇關(guān)于Spring Boot 基于 SAML 實現(xiàn)單點登錄原理解析的文章就介紹到這了,更多相關(guān)Spring Boot SAML單點登錄內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
您可能感興趣的文章:
- Spring?Boot?基于?SAML?實現(xiàn)單點登錄原理解析
- springboot前后端分離集成CAS單點登錄(統(tǒng)一認證)
- Springboot繼承Keycloak實現(xiàn)單點登錄與退出功能
- SpringBoot+JWT實現(xiàn)單點登錄完美解決方案
- SpringBoot實現(xiàn)單點登錄的實現(xiàn)詳解
- SpringBoot單點登錄實現(xiàn)過程詳細分析
- SpringBoot集成redis與session實現(xiàn)分布式單點登錄
- SpringBoot整合Keycloak實現(xiàn)單點登錄的示例代碼
- Spring?boot?security權(quán)限管理集成cas單點登錄功能的實現(xiàn)
- springboot簡單實現(xiàn)單點登錄的示例代碼
相關(guān)文章
這篇文章主要介紹了類似微信中說話功能的錄音處理代碼，需要大家自己加UI界面,大家參考使用吧2014-01-01
下面小編就為大家?guī)硪黄獪\談Java中方法參數(shù)傳遞的問題。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-08-08
JAVA利用HttpClient進行POST請求(HTTPS)實例
下面小編就為大家?guī)硪黄狫AVA利用HttpClient進行POST請求(HTTPS)實例。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起 小編過來看看吧2016-11-11
在我們開發(fā)系統(tǒng)過程中,經(jīng)常會處理一些費時間的任務(wù)(如:向數(shù)據(jù)庫中插入大量數(shù)據(jù)),這個時候就就需要使用多線程,下面這篇文章主要給大家介紹了關(guān)于Spring多線程的使用以及問題的相關(guān)資料,需要的朋友可以參考下2022-05-05
解決SpringBoot運行Test時報錯:SpringBoot Unable to find
這篇文章主要介紹了SpringBoot運行Test時報錯：SpringBoot Unable to find a @SpringBootConfiguration，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2021-10-10
Java+Freemarker實現(xiàn)根據(jù)XML模板文件生成Word文檔
這篇文章主要為大家詳細介紹了Java如何使用Freemarker實現(xiàn)根據(jù)XML模板文件生成Word文檔,文中的示例代碼講解詳細,感興趣的小伙伴可以學(xué)習(xí)一下2023-11-11
SpringBoot結(jié)合Redis實現(xiàn)序列化的方法詳解
Spring提供了一個RedisTemplate來進行對Redis的操作，但是RedisTemplate默認配置的是使用Java本機序列化。如果要對對象操作，就不是那么的方便。所以本文為大家介紹了另一種SpringBoot結(jié)合Redis實現(xiàn)序列化的方法，需要的可以參考一下2022-06-06
這篇文章主要介紹了Java中的?HTTP?協(xié)議原理詳解，HTTP超文本傳輸協(xié)議，下文簡稱?HTTP，它的作用是用于實現(xiàn)服務(wù)器端和客戶端的數(shù)據(jù)傳輸?shù)?/div> 2022-07-07
SpringCloud灰度發(fā)布的設(shè)計與實現(xiàn)詳解
這篇文章主要介紹了SpringCloud灰度發(fā)布的設(shè)計與實現(xiàn)詳解,灰度從字面意思理解就是存在于黑與白之間的一個平滑過渡的區(qū)域,所以說對于互聯(lián)網(wǎng)產(chǎn)品來說,上線和未上線就是黑與白之分,而實現(xiàn)未上線功能平穩(wěn)過渡的一種方式就叫做灰度發(fā)布,需要的朋友可以參考下2023-09-09
這篇文章主要為大家詳細介紹了如何基于SpringBoot制作一個PDF切圖小工具,文中的示例代碼講解詳細,感興趣的小伙伴可以跟隨小編一起學(xué)習(xí)一下2024-01-01最新評論