19、混合属性聚合模型的实现与应用

混合属性聚合模型的实现与应用

在身份验证和授权领域，属性聚合是一个关键的问题，它涉及到如何从多个身份提供者（IdP）收集用户属性，并将这些属性安全地传递给服务提供者（SP）。本文将介绍一种混合属性聚合模型的实现和应用，该模型结合了身份代理（IP）和身份中继（IR）模式，旨在提供更安全、灵活的属性聚合解决方案。

1. 背景与挑战

在传统的身份验证和授权系统中，SP通常依赖于单个IdP来获取用户的属性。然而，这种方式存在一些局限性，例如无法从多个IdP聚合属性，以及可能存在属性滥用的风险。为了解决这些问题，我们提出了一种混合属性聚合模型，该模型允许SP通过混合IdP从多个SAML IdP获取加密的断言，从而保护用户属性的隐私。

2. 实现方案

我们基于SimpleSAMLphp实现了这个混合属性聚合模型，主要对其Consent和Multiauth模块进行了修改。

• Consent模块修改 ：在用户在IdP认证后显示的同意表单中添加了一个复选框和一个按钮。复选框“Return Encrypted Assertion”用于切换IP和IR模式，按钮“Aggregate More Attributes”用于启动属性聚合过程。
• Multiauth模块修改 ：修改该模块，使其在用户点击同意表单上的“Aggregate More Attributes”按钮时，显示未使用过的外部IdP列表。同时，修改SimpleSAMLphp IdP代码库，允许用户在已有会话的情况下选择其他IdP，并保留会话。
• 数据结构