对接OKTA 使用SAML2.0协议

2023-10-10 05:59

本文主要是介绍对接OKTA 使用SAML2.0协议,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

对接OKTA 使用SAML2.0协议

缘起

给客户做项目,客户要求内部使用okta登陆,使用SAML2.0协议,需要对接。

okta初探

OKTA是SSO,有个网站可以让我们测试,地址:okta developer,SAML协议的交互流程大致如下

  1. 浏览器打开需要登录系统登陆界面,系统登陆界面只有一个登陆按钮,没有输入用户名密码的地方(原因是OKTA使用域账户登陆的时候,能直接获取域账户名,除了这个还有好多客户端都支持,比如Apple账户)

  2. 点击按钮,跳转到OKTA页面,这个页面只有一个loading动画,个人猜测里面有获取当前域账户名的代码

  3. 然后再次一个跳转,这个跳转跳到一个回调url,这个url官方名称为Single Sign On URL,记住它,后面会用到。跳转到这个页面后,浏览器会发送一个POST请求,content-typeapplication/x-www-form-urlencoded,参数包含一个SAMLResponseRelayState(这个是在OKTA控制台配置的回传参数)大概的样子是
    在这里插入图片描述

  4. 第3步中的SAMLResponse就是一个xml文档的base64编码后的数据,回调地址接收到SAMLResponse进行校验,并获取登陆名

OKTA的配置

  1. Single Sign On URL配置我们的系统的地址,是OKTA将认证完成后告诉我们结果的一个接口,接收参数是SAMLResponseRelayState,格式是application/x-www-form-urlencoded,java中方法签名大概是:
@RequestMapping(value = "/login/success",method = {RequestMethod.POST})public String loginSuccess(String SAMLResponse, String RelayState){System.out.println("sAMLResponse:"+SAMLResponse);System.out.println("RelayState:" + RelayState);return "success";}

配置的地方如下:
在这里插入图片描述
2. 全部配置完后会得到一个页面大致如下
在这里插入图片描述
注意:Identity Provider Single Sign-On URL这个就是上面第一步中点击按钮跳转到的链接X.509 Certificate这部分是公钥,用来验证SAMLResponse中签名的公钥
3. 这个页面可以让你上传一个csv文件(包含登陆名信息)加入到你的group里面,登陆是否能成功,就是取你的域账户名,查询是否在你的group里面,当然你可以配置更复杂的规则
在这里插入图片描述

验证逻辑

  1. 引入jar包:
	<dependency><groupId>org.opensaml</groupId><artifactId>opensaml</artifactId><version>2.6.4</version></dependency>
  1. 验证逻辑:
import org.joda.time.DateTime;
import org.joda.time.DateTimeZone;
import org.opensaml.Configuration;
import org.opensaml.DefaultBootstrap;
import org.opensaml.saml2.core.Assertion;
import org.opensaml.saml2.core.Response;
import org.opensaml.xml.ConfigurationException;
import org.opensaml.xml.XMLObject;
import org.opensaml.xml.io.Unmarshaller;
import org.opensaml.xml.io.UnmarshallerFactory;
import org.opensaml.xml.io.UnmarshallingException;
import org.opensaml.xml.security.x509.BasicX509Credential;
import org.opensaml.xml.signature.Signature;
import org.opensaml.xml.signature.SignatureValidator;
import org.opensaml.xml.util.Base64;
import org.opensaml.xml.validation.ValidationException;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.w3c.dom.Document;
import org.w3c.dom.Element;
import org.xml.sax.SAXException;import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;
import javax.xml.parsers.ParserConfigurationException;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.security.KeyFactory;
import java.security.NoSuchAlgorithmException;
import java.security.PublicKey;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.X509EncodedKeySpec;public class Test {private static final Logger logger = LoggerFactory.getLogger(Test.class);private static final String pattern = "yyyy-MM-dd HH:mm:ss";private static final BasicX509Credential credential = new BasicX509Credential();//X.509 Certificatepublic static final String publicKeyStr = "xxxxxxx";//responseMsg就是SAMLResponsepublic String validate(String responseMsg) {ByteArrayInputStream byteArrayInputStream = null;try {CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");byteArrayInputStream = new ByteArrayInputStream(Base64.decode(publicKeyStr));X509Certificate certificate = (X509Certificate) certificateFactory.generateCertificate(byteArrayInputStream);KeyFactory keyFactory = KeyFactory.getInstance("RSA");X509EncodedKeySpec publicKeySpec = new X509EncodedKeySpec(certificate.getPublicKey().getEncoded());PublicKey publicKey = keyFactory.generatePublic(publicKeySpec);credential.setPublicKey(publicKey);} catch (CertificateException e) {logger.error("加载okta PublicKey失败", e);} catch (NoSuchAlgorithmException e) {logger.error("加载okta PublicKey失败", e);} catch (InvalidKeySpecException e) {logger.error("加载okta PublicKey失败", e);}finally {if(byteArrayInputStream != null){try {byteArrayInputStream.close();} catch (IOException e) {e.printStackTrace();}}}try (ByteArrayInputStream inputStream = new ByteArrayInputStream(Base64.decode(responseMsg))) {DefaultBootstrap.bootstrap();DocumentBuilderFactory documentBuilderFactory = DocumentBuilderFactory.newInstance();documentBuilderFactory.setNamespaceAware(true);DocumentBuilder documentBuilder = documentBuilderFactory.newDocumentBuilder();Document document = documentBuilder.parse(inputStream);Element documentElement = document.getDocumentElement();UnmarshallerFactory unmarshallerFactory = Configuration.getUnmarshallerFactory();Unmarshaller unmarshaller = unmarshallerFactory.getUnmarshaller(documentElement);XMLObject xmlObject = unmarshaller.unmarshall(documentElement);Response response = (Response) xmlObject;Assertion assertion = response.getAssertions().get(0);//验证签名Signature signature = assertion.getSignature();SignatureValidator signatureValidator = new SignatureValidator(credential);//签名验证失败会抛错signatureValidator.validate(signature);//校验是否登录成功String successStr = response.getStatus().getStatusCode().getValue();if (!successStr.contains("Success")) {logger.error("登录成功标志校验失败,successStr={}", response.getStatus().getStatusCode().getValue());return null;}//检验登录时间DateTime notBefore = assertion.getConditions().getNotBefore();DateTime notOnOrAfter = assertion.getConditions().getNotOnOrAfter();DateTime now = new DateTime(DateTimeZone.UTC);logger.error("验证okta返回的时间,notBefore={},notOnOrAfter={},now={}",notBefore.toString(pattern), notOnOrAfter.toString(pattern), now.toString(pattern));if (now.isBefore(notBefore) || now.isAfter(notOnOrAfter)) {logger.error("登录成功时间校验失败,notBefore={},notOnOrAfter={},now={}",notBefore.toString(pattern), notOnOrAfter.toString(pattern), now.toString(pattern));return null;}//返回登录用户名return assertion.getSubject().getNameID().getValue();} catch (IOException e) {logger.error("验证SAMLResponse失败", e);} catch (ParserConfigurationException e) {logger.error("验证SAMLResponse失败", e);} catch (SAXException e) {logger.error("验证SAMLResponse失败", e);} catch (UnmarshallingException e) {logger.error("验证SAMLResponse失败", e);} catch (ValidationException e) {logger.error("验证SAMLResponse失败", e);} catch (ConfigurationException e) {logger.error("验证SAMLResponse失败", e);} catch (Exception ex) {logger.error("验证SAMLResponse失败", ex);}return null;}
}

这篇关于对接OKTA 使用SAML2.0协议的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/178443

相关文章

postgresql使用UUID函数的方法

《postgresql使用UUID函数的方法》本文给大家介绍postgresql使用UUID函数的方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录PostgreSQL有两种生成uuid的方法。可以先通过sql查看是否已安装扩展函数,和可以安装的扩展函数

如何使用Lombok进行spring 注入

《如何使用Lombok进行spring注入》本文介绍如何用Lombok简化Spring注入,推荐优先使用setter注入,通过注解自动生成getter/setter及构造器,减少冗余代码,提升开发效... Lombok为了开发环境简化代码,好处不用多说。spring 注入方式为2种,构造器注入和setter

MySQL中比较运算符的具体使用

《MySQL中比较运算符的具体使用》本文介绍了SQL中常用的符号类型和非符号类型运算符,符号类型运算符包括等于(=)、安全等于(=)、不等于(/!=)、大小比较(,=,,=)等,感兴趣的可以了解一下... 目录符号类型运算符1. 等于运算符=2. 安全等于运算符<=>3. 不等于运算符<>或!=4. 小于运

使用zip4j实现Java中的ZIP文件加密压缩的操作方法

《使用zip4j实现Java中的ZIP文件加密压缩的操作方法》本文介绍如何通过Maven集成zip4j1.3.2库创建带密码保护的ZIP文件,涵盖依赖配置、代码示例及加密原理,确保数据安全性,感兴趣的... 目录1. zip4j库介绍和版本1.1 zip4j库概述1.2 zip4j的版本演变1.3 zip4

Python 字典 (Dictionary)使用详解

《Python字典(Dictionary)使用详解》字典是python中最重要,最常用的数据结构之一,它提供了高效的键值对存储和查找能力,:本文主要介绍Python字典(Dictionary)... 目录字典1.基本特性2.创建字典3.访问元素4.修改字典5.删除元素6.字典遍历7.字典的高级特性默认字典

使用Python构建一个高效的日志处理系统

《使用Python构建一个高效的日志处理系统》这篇文章主要为大家详细讲解了如何使用Python开发一个专业的日志分析工具,能够自动化处理、分析和可视化各类日志文件,大幅提升运维效率,需要的可以了解下... 目录环境准备工具功能概述完整代码实现代码深度解析1. 类设计与初始化2. 日志解析核心逻辑3. 文件处

一文详解如何使用Java获取PDF页面信息

《一文详解如何使用Java获取PDF页面信息》了解PDF页面属性是我们在处理文档、内容提取、打印设置或页面重组等任务时不可或缺的一环,下面我们就来看看如何使用Java语言获取这些信息吧... 目录引言一、安装和引入PDF处理库引入依赖二、获取 PDF 页数三、获取页面尺寸(宽高)四、获取页面旋转角度五、判断

C++中assign函数的使用

《C++中assign函数的使用》在C++标准模板库中,std::list等容器都提供了assign成员函数,它比操作符更灵活,支持多种初始化方式,下面就来介绍一下assign的用法,具有一定的参考价... 目录​1.assign的基本功能​​语法​2. 具体用法示例​​​(1) 填充n个相同值​​(2)

Spring StateMachine实现状态机使用示例详解

《SpringStateMachine实现状态机使用示例详解》本文介绍SpringStateMachine实现状态机的步骤,包括依赖导入、枚举定义、状态转移规则配置、上下文管理及服务调用示例,重点解... 目录什么是状态机使用示例什么是状态机状态机是计算机科学中的​​核心建模工具​​,用于描述对象在其生命

使用Python删除Excel中的行列和单元格示例详解

《使用Python删除Excel中的行列和单元格示例详解》在处理Excel数据时,删除不需要的行、列或单元格是一项常见且必要的操作,本文将使用Python脚本实现对Excel表格的高效自动化处理,感兴... 目录开发环境准备使用 python 删除 Excphpel 表格中的行删除特定行删除空白行删除含指定