Recipient endpoint không phù hợp với SAML phản ứng

Question

Thông thường tôi Xuân SAML dựa trên cung cấp dịch vụ (SP) thực hiện hoạt động tốt, nhưng đôi khi nó sẽ trả về lỗi này:

[2014-07-17 16:00:58.767] boot - 1078 DEBUG [http-bio-80-exec-1] --- BaseMessageDecoder:  Successfully decoded message. 
[2014-07-17 16:00:58.767] boot - 1078 DEBUG [http-bio-80-exec-1] --- BaseSAMLMessageDecoder: Checking SAML message intended destination endpoint against receiver endpoint 
[2014-07-17 16:00:58.768] boot - 1078 DEBUG [http-bio-80-exec-1] --- BaseSAMLMessageDecoder: Intended message destination endpoint: https://prismasp.cloud.reply.eu:443/MIUR_PRISMA-2.1-WEBUI/saml/SSO/alias/defaultAlias 
[2014-07-17 16:00:58.768] boot - 1078 DEBUG [http-bio-80-exec-1] --- BaseSAMLMessageDecoder: Actual message receiver endpoint: http://prismasp.cloud.reply.eu:443/MIUR_PRISMA-2.1-WEBUI/saml/SSO/alias/defaultAlias 
[2014-07-17 16:00:58.768] boot - 1078 ERROR [http-bio-80-exec-1] --- BaseSAMLMessageDecoder: SAML message intended destination endpoint 'https://prismasp.cloud.reply.eu:443/MIUR_PRISMA-2.1-WEBUI/saml/SSO/alias/defaultAlias' did not match the recipient endpoint 'http://prismasp.cloud.reply.eu:443/MIUR_PRISMA-2.1-WEBUI/saml/SSO/alias/defaultAlias' 
[2014-07-17 16:00:58.782] boot - 1078 DEBUG [http-bio-80-exec-1] --- SAMLProcessingFilter: Incoming SAML message is invalid 
org.opensaml.xml.security.SecurityException: SAML message intended destination endpoint did not match recipient endpoint 
... 

Tôi đang sử dụng (như thiết lập mặc định của xuân an) các HTTP Strict Transport Security (HSTS) trên Tomcat 7 với SSL kích hoạt.

Có cách nào để khắc phục lỗi này không?

---

Lưu ý: mã nguồn mẫu là trên Github: vdenotaris/spring-boot-security-saml-sample.

Answer 1

Tôi không biết tại sao sự cố của bạn xảy ra ngẫu nhiên, nhưng ít nhất một cách để khắc phục sự cố là định cấu hình SAMLContextProviderLB thay vì SAMLContextProviderImpl hiện tại của bạn.

Thông tin SAMLContextProviderLB thường được sử dụng để báo cho công chúng biết về URL công cộng được sử dụng trên proxy ngược hoặc trình cân bằng tải. Tuy nhiên, trong trường hợp này, bạn có thể sử dụng để buộc SAML sử dụng HTTPS. Bạn có thể tìm thấy chi tiết trong chương 9.1 của Spring SAML manual.

Bạn cũng nên đảm bảo đặt đúng thuộc tính entityBaseURL trên bean MetadataGenerator của mình, vì không làm như vậy, siêu dữ liệu được tạo sẽ phụ thuộc vào việc bạn đã thực hiện yêu cầu đầu tiên cho ứng dụng của mình bằng http hay https. Một lần nữa, tất cả điều này là documented.