使用 Spring Security 将 SAMl2.0 令牌转换为 JWT/OIDC

Question

我所在的团队需要使用 SAML2.0 向现有的 Java Spring 应用程序添加 OIDC（JWT/id 令牌）支持。 你们有什么建议或资源来帮助解决这个问题吗？

从我所做的少量研究来看，听起来我们可能有一种方法可以将 SAML2.0 令牌转换为 JSON Web 令牌/OIDC/ID 令牌。 那是一回事吗？

抱歉措辞不当，我天生就是一名数据科学家，所以我的软件开发技能并不强。

谢谢大家提供的任何帮助。

Answer 1

听起来我们可能有办法将 SAML2.0 令牌转换为 JSON Web Token/OIDC/ID Token

这听起来像是您正在尝试将 SAML 断言交换为访问令牌。 在这种情况下，您可以查看SAML assertion token grants 。 另一种选择是将您的 SAML 断言本身视为不记名令牌，而不是将其转换。 我不认为 Spring Security 还支持其中任何一个，但 添加一张票以开始该对话不会有什么坏处。

使用 SAML2.0 将 OIDC（JWT/id 令牌）支持添加到现有的 Java Spring 应用程序

但是，如果我的理解有误，并且您的意思是您希望您的应用程序能够执行SAML SP 握手以及OIDC握手，那么 Spring 安全性确实支持这一点。 您可以像这样简单地指定这两种机制：

http
    .authorizeHttpRequests((authorize) -> authorize.anyRequest().authenticated())
    .oauth2Login(Customizer.withDefaults())
    .saml2Login(Customizer.withDefaults());

为了与您的身份提供者正确协调，这些中的每一个最终都会有自己的必要配置。 请参阅上面的链接了解如何执行此操作。

此外，您可能需要在 Id 令牌代表的用户和断言代表的用户之间进行一些协调。 和解最终将取决于您。