Spring security Spring Security SAML-Response.isSigned=false_Spring Security_Saml 2.0_Adfs2.0_Spring Saml

Spring security Spring Security SAML-Response.isSigned=false

spring-security

Spring security Spring Security SAML-Response.isSigned=false,spring-security,saml-2.0,adfs2.0,spring-saml,Spring Security,Saml 2.0,Adfs2.0,Spring Saml,当询问我的断言是否已签名时，它总是返回false，这使得在SP filter完成后很难进行第二次验证。我的IDP是ADFS 2.0，我尝试对整个samlresponse和断言进行签名，但结果相同我们希望在受spring SP模块保护的web应用程序中从票证中获取断言。因此，当用户通过身份验证时，我们希望将断言转发给一个服务，该服务将验证它，如果它是一个有效的断言，则执行一些操作。在这个服务中，我们不需要Spring安全性和Spring SP。我们只需要使用openSaml库转发和验证断言我们

当询问我的断言是否已签名时，它总是返回false，这使得在SP filter完成后很难进行第二次验证。我的IDP是ADFS 2.0，我尝试对整个samlresponse和断言进行签名，但结果相同

我们希望在受spring SP模块保护的web应用程序中从票证中获取断言。因此，当用户通过身份验证时，我们希望将断言转发给一个服务，该服务将验证它，如果它是一个有效的断言，则执行一些操作。在这个服务中，我们不需要Spring安全性和Spring SP。我们只需要使用openSaml库转发和验证断言

我们的问题是，当我们从Spring sec获得断言并转发到我们的服务时，验证将从以下行开始，该行始终返回false：

assertion.isSigned()

上述代码行源自：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
SAMLCredential credential = (SAMLCredential) authentication.getCredentials();
credential.getAuthenticationAssertion().isSigned();

当在顶级webapp中调用时，这也会生成“false”

覆盖SAMLAuthenticationProvider并添加上述代码也会产生“false”

如果我们将以下代码段添加到我们的webapp： getMarshallerFactory（）.getMarshaller（credential.getAuthenticationAssertion（））； marshaller.marshall（credential.getAuthenticationAssertion（））

然后运行

assertion.isSigned();

我们得到的回答是“真”

我们使用的是spring-security-saml2-core版本1.0.1.0

日志：

以下是我们的SAML回应：

<samlp:Response Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified"
   Destination="https://domain.test.se:8443/IAMDemoAppADFS/saml/SSO"
   ID="_a97d2515-6160-4370-8e85-a34143a1e2fb" InResponseTo="a3jdaigh6671c3g5464d3ff472jffdd"
   IssueInstant="2015-10-28T09:52:34.745Z" Version="2.0"
   xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
    <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://ADFSdomain.test.se/adfs/services/trust</Issuer>
    <samlp:Status><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/></samlp:Status>
    <Assertion ID="_574cd222-ec33-4f3d-b77b-a3ab2f16d33d" IssueInstant="2015-10-28T09:52:34.745Z"
      Version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion">
        <Issuer>https://ADFSdomain.test.se/adfs/services/trust</Issuer>
        <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
            <SignedInfo><CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/><SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
                <Reference URI="#_574cd222-ec33-4f3d-b77b-a3ab2f16d33d">
                    <Transforms><Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/><Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/></Transforms><DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
                    <DigestValue>gk/c0lTTLw8zXdKuvkZi48eY4sA=</DigestValue>
                </Reference>
            </SignedInfo>
                <SignatureValue>kU7WfGIEIQul40i9jObZ2uyb0rnJaEr2n2bBI6E/IS8Dr52quUR8nrMG5jwmGFxgdD63odpo4605SmQVlPKxOAD2GbIOSzgNDG8u/axH8JEEAhzfC5CGfE6i775WkkZ1+LsOrmrWCAJnXjejo/Zrg6z7rSi/USgeB4TmxipwF7twMunnNFKgaPntzv3dVAQjc+zglCR0A3QQwo1orM14mFcrcYlsD6sIGWd1LmumgScWE6iNt5Fif/hPirtcF0K0YpNBPbhiDwxpPZ8NgAZIjliZU8b5Qem6Vi50ysH9lj57r7hMmUD9IjgHS1wpOfZuII2if+BcddUp7aqA+GWmw7Fw==</SignatureValue>
            <KeyInfo>
                <ds:X509Data xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                    <ds:X509Certificate>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</ds:X509Certificate>
                </ds:X509Data>
            </KeyInfo>
        </Signature>
        <Subject>
            <NameID>XXX</NameID>
            <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"><SubjectConfirmationData InResponseTo="a3jdaigh6671c3g5464d3ff472jffdd"
            NotOnOrAfter="2015-10-28T09:57:34.745Z"
            Recipient="https://domain.test.se:8443/IAMDemoAppADFS/saml/SSO"/></SubjectConfirmation>
        </Subject>
        <Conditions NotBefore="2015-10-28T09:52:34.745Z" NotOnOrAfter="2015-10-28T09:53:34.745Z">
            <AudienceRestriction>
                <Audience>IAMDemoAppADFS</Audience>
            </AudienceRestriction>
        </Conditions>
        <AuthnStatement AuthnInstant="2015-10-28T09:52:34.558Z"
         SessionIndex="_574cd222-ec33-4f3d-b77b-a3ab2f16d33d">
            <AuthnContext>
                <AuthnContextClassRef>urn:federation:authentication:windows</AuthnContextClassRef>
            </AuthnContext>
        </AuthnStatement>
    </Assertion>
</samlp:Response>


https://ADFSdomain.test.se/adfs/services/trust
https://ADFSdomain.test.se/adfs/services/trust
gk/c0lTTLw8zXdKuvkZi48eY4sA=
2.一本书中的一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书，一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书是一本书中的一本书的一本书是一本书的一本书，一本书是一本书是一本书的一本书的一本书的一本书的一本书的一本书，一本书的一本书是一本书，一本书的一本书的一本书的一本书的一本书是一本书是一本书的一本书的一本书，一本书的一本书的一本书的一本书的一本书的一本书的一本书的一本书的一本书的一本书的一本书的DDUP7AQA+GWmw7Fw==
MIIC/JCCAEAGAWIBAGIQEPMCJ017XA9GMDEOYZNQHKIG9W0BAQSFADA7MtKWnWydVqDzBBREZTIFNPZ25PBMCGLSBHZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ（2）在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在中国，在坏的/vJqoPm5Fs2）一个8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8 1迪胡扎=
XXX
我的朋友
urn:federation:身份验证：windows

尝试在

websProfileConsumerImpl

中将

releaseDOM

设置为false。此用例记录在中-它没有明确说明默认情况下将删除签名，但很可能是这样

<samlp:Response Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified"
   Destination="https://domain.test.se:8443/IAMDemoAppADFS/saml/SSO"
   ID="_a97d2515-6160-4370-8e85-a34143a1e2fb" InResponseTo="a3jdaigh6671c3g5464d3ff472jffdd"
   IssueInstant="2015-10-28T09:52:34.745Z" Version="2.0"
   xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
    <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://ADFSdomain.test.se/adfs/services/trust</Issuer>
    <samlp:Status><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/></samlp:Status>
    <Assertion ID="_574cd222-ec33-4f3d-b77b-a3ab2f16d33d" IssueInstant="2015-10-28T09:52:34.745Z"
      Version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion">
        <Issuer>https://ADFSdomain.test.se/adfs/services/trust</Issuer>
        <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
            <SignedInfo><CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/><SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
                <Reference URI="#_574cd222-ec33-4f3d-b77b-a3ab2f16d33d">
                    <Transforms><Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/><Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/></Transforms><DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
                    <DigestValue>gk/c0lTTLw8zXdKuvkZi48eY4sA=</DigestValue>
                </Reference>
            </SignedInfo>
                <SignatureValue>kU7WfGIEIQul40i9jObZ2uyb0rnJaEr2n2bBI6E/IS8Dr52quUR8nrMG5jwmGFxgdD63odpo4605SmQVlPKxOAD2GbIOSzgNDG8u/axH8JEEAhzfC5CGfE6i775WkkZ1+LsOrmrWCAJnXjejo/Zrg6z7rSi/USgeB4TmxipwF7twMunnNFKgaPntzv3dVAQjc+zglCR0A3QQwo1orM14mFcrcYlsD6sIGWd1LmumgScWE6iNt5Fif/hPirtcF0K0YpNBPbhiDwxpPZ8NgAZIjliZU8b5Qem6Vi50ysH9lj57r7hMmUD9IjgHS1wpOfZuII2if+BcddUp7aqA+GWmw7Fw==</SignatureValue>
            <KeyInfo>
                <ds:X509Data xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                    <ds:X509Certificate>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</ds:X509Certificate>
                </ds:X509Data>
            </KeyInfo>
        </Signature>
        <Subject>
            <NameID>XXX</NameID>
            <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"><SubjectConfirmationData InResponseTo="a3jdaigh6671c3g5464d3ff472jffdd"
            NotOnOrAfter="2015-10-28T09:57:34.745Z"
            Recipient="https://domain.test.se:8443/IAMDemoAppADFS/saml/SSO"/></SubjectConfirmation>
        </Subject>
        <Conditions NotBefore="2015-10-28T09:52:34.745Z" NotOnOrAfter="2015-10-28T09:53:34.745Z">
            <AudienceRestriction>
                <Audience>IAMDemoAppADFS</Audience>
            </AudienceRestriction>
        </Conditions>
        <AuthnStatement AuthnInstant="2015-10-28T09:52:34.558Z"
         SessionIndex="_574cd222-ec33-4f3d-b77b-a3ab2f16d33d">
            <AuthnContext>
                <AuthnContextClassRef>urn:federation:authentication:windows</AuthnContextClassRef>
            </AuthnContext>
        </AuthnStatement>
    </Assertion>
</samlp:Response>