使用 SAML 和 https 或 http答案

【问题标题】：Using SAML and https or http使用 SAML 和 https 或 http
【发布时间】：2016-01-21 19:10:49
【问题描述】：

我正在开发一项服务，该服务使用 SAML SSO 协议提供身份验证服务以实现通信安全。

简介：- SAML SSO 识别身份提供者（IP 或 IDP）和服务提供者，后者“信任”并将用户身份验证委托给 IDP。以下是建立信任的方式： 1. 服务提供商（SP）： - 受信任的 IDP 名称和证书 - 单点登录 (SSO) URL 2.身份提供者（IDP）： - 依赖 SP 名称和证书 - SSO 消费者 URL 每当 SP 需要对用户进行身份验证时，它会将其重定向到 SSO 端点并在查询字符串或表单字段（GET 或 POST 方法）中传递 SAMLRequest。

我想知道的是，需要身份验证的客户端是否需要通过“https”协议发送请求，或者请求也可以使用 http 通道中继。我只是问 SAML 协议是否要求我们使用 https

【问题讨论】：

标签： http https saml

【解决方案1】：

SAML 不要求使用 HTTPS，但推荐。

这是一种身份验证机制（即使我们只是在谈论 AuthnRequest），所以我的问题是为什么不会你使用 HTTPS？

【讨论】：

【解决方案2】：

SAML 不需要使用 HTTPS。但是您应该以某种方式保护您的消息。这可能是通过使用 XML 签名/加密、HTTPS 或其他方式。 HTTPS 可能是实现这一点的最简单方法。

【讨论】：