8.4. SAML

最新推荐文章于 2024-12-31 11:24:11 发布

Sumarua

最新推荐文章于 2024-12-31 11:24:11 发布

阅读量520

点赞数

分类专栏： Web安全学习进阶笔记文章标签：简介认证过程安全问题

版权

111 篇文章 ¥59.90 ¥99.00

订阅专栏

SAML（安全断言标记语言）是一种XML格式的协议，用于实现单点登录（SSO）。它涉及服务提供者（SP）、认证服务（IDP）和用户（Client）三者间的交互，主要包含简介、认证过程和安全问题等内容。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

SAML (Security Assertion Markup Language) 译为安全断言标记语言，是一种xXML格式的语言，使用XML格式交互，来完成SSO的功能。

SAML存在1.1和2.0两个版本，这两个版本不兼容，不过在逻辑概念或者对象结构上大致相当，只是在一些细节上有所差异。

SAML的认证涉及到三个角色，分别为服务提供者(SP)、认证服务(IDP)、用户(Client)。一个比较典型认证过程如下：

Client访问受保护的资源
SP生成认证请求SAML返回给Client
Client提交请求到IDP
IDP返回认证请求
Client登陆IDP
认证成功后，IDP生成私钥签名标识了权限的SAML，返回给Client
Client提交SAML给SP
SP读取SAML，确定请求合法，返回资源

源于ssl模式下的认证可选性，可以删除签名方式标签绕过认证
如果SAML中缺少了expiration，并且断言ID不是唯一的，那么就可能被重放攻击影响

了解本专栏