Образец SAML Java Config. Проект, сломанный с самого начала

Проблема возникает из-за использования в примере приложения устаревшего конструктора - устаревшего, предупреждение которого было явно подавлено - для HTTPMetadataProvider (исправление, которое я зафиксирую в ближайшее время). При настройке ExtendedMetadataDelegate двухпараметрический конструктор:

    @Bean
    @Qualifier("idp-ssocircle")
    public ExtendedMetadataDelegate ssoCircleExtendedMetadataProvider() throws MetadataProviderException {  
        @SuppressWarnings({ "deprecation"})
        HTTPMetadataProvider httpMetadataProvider = new HTTPMetadataProvider("https://idp.ssocircle.com/idp-meta.xml", 5000);
        // other config.s...
    }

Если его заменить нерекомендуемым конструктором, который принимает java.util.Timer и org.apache.commons.httpclient.HttpClient (в дополнение к URL-адресу метаданных), образец приложения работает прекрасно, и никаких ошибок не регистрируется.

Дополнительная информация, не относящаяся к OP

Мне пришлось сделать следующее, чтобы запустить образец SAML-приложения

После удаления устаревшего конструктора я рекомендую сделать две вещи:

1. Выполните действия, описанные в 4.2.6 документации, т.е. обрабатывать приложение во время установки как приложение, настроенное для XML. Необходимо предпринять все шаги, чтобы «зарегистрировать» метаду. Приложение не сможет зарегистрировать свои метаданные в текущей конфигурации Java (см. Ниже; пункт 2)
2. Измените конфигурации по умолчанию в классе WebSecurityConfig (подробности читайте ниже)

Изменение конфигурации

В конфигурации ExtendedMetadataDelegate bean ssoCircleExtendedMetadataProvider измените значения свойств ExtendedMetadataDelegate следующим образом:

// code....
extendedMetadataDelegate.setMetadataTrustCheck(true);
extendedMetadataDelegate.setMetadataRequireSignature(false);
// code....

В bean-компоненте ExtendedMetadata (отличном от указанного выше) измените значения свойств, как показано ниже:

// code....
extendedMetadata.setIdpDiscoveryEnabled(true); 
extendedMetadata.setSignMetadata(false);
// code....

"Заявление об ограничении ответственности"

Я не знаю, следует ли это использовать в продакшене; однако, похоже, он лучше отражает как конфигурацию на основе XML, так и результирующие метаданные примера поставщика услуг, сконфигурированного с помощью XML, упомянутого в Документация SAML Spring

Советы:

Я встретил это исключение, когда пытался настроить профиль HTTP-Artifact.

В org.opensaml.ws.soap.client.http.TLSProtocolSocketFactory (openws-1.5.1) есть hostnameVerifier и обработка verifyHostname() перед тем, как OpenSAML попытается создать сокет для подключения к другому хосту.

Я настроил sslHostnameVerification на "allowAll" в org.springframework.security.saml.metadata.ExtendedMetadata, допустимые значения: "default", "defaultAndLocalhost", "strict" и "allowAll".

Похоже, что в вашем случае это исключение было вызвано, когда SP (ваш образец saml) пытался загрузить metadata.xml из IdP (ssocircle). Лучший способ выяснить, что происходит, - это отладить, когда и где был установлен hostnameVerifier.

Или вы можете попробовать установить sslHostnameVerification на «allowAll» в ExtendedMetadata SSOCircle's ExtendedMetadataDelegate, чтобы сначала попробовать ..

ознакомьтесь с этим ответом: он в основном описывает недавно выпущенный мной плагин, который позволяет вам настроить Spring Boot и Spring Security SAML следующим образом:

@SpringBootApplication
@EnableSAMLSSO
public class SpringBootSecuritySAMLDemoApplication {

    public static void main(String[] args) {
        SpringApplication.run(SpringBootSecuritySAMLDemoApplication.class, args);
    }

    @Configuration
    public static class MvcConfig extends WebMvcConfigurerAdapter {

        @Override
        public void addViewControllers(ViewControllerRegistry registry) {
            registry.addViewController("/").setViewName("index");
        }
    }

    @Configuration
    public static class MyServiceProviderConfig extends ServiceProviderConfigurerAdapter {
        @Override
        public void configure(ServiceProviderSecurityBuilder serviceProvider) throws Exception {
            serviceProvider
                .metadataGenerator()
                .entityId("localhost-demo")
            .and()
                .sso()
                .defaultSuccessURL("/home")
                .idpSelectionPageURL("/idpselection")
            .and()
                .logout()
                .defaultTargetURL("/")
            .and()
                .metadataManager()
                .metadataLocations("classpath:/idp-ssocircle.xml")
                .refreshCheckInterval(0)
            .and()
                .extendedMetadata()
                .idpDiscoveryEnabled(true)
            .and()
                .keyManager()
                .privateKeyDERLocation("classpath:/localhost.key.der")
                .publicKeyPEMLocation("classpath:/localhost.cert");

        }
    }
}

Есть несколько демонстрационных приложений, интегрированных с SSO Circle.