使用基于 SAML 的基本身份验证进行身份验证？

Question

我有一个用例，其中 Web 应用程序需要让用户以两种不同的方式进行身份验证，但通过 SAML 使用相同的用户数据存储（又名 IDP）。

• 用户的浏览器被重定向到 IDP 并使用 SAML 断言（又名 WebSSO 配置文件）重定向回来。
• 用户通过基本身份验证向 SP 提出请求，提供其凭据。然后，SP 需要将用户的凭据发送给 IDP，IDP 将通过反向通道（服务器到服务器）提供断言。

我正在使用 Spring Security SAML 扩展。 Spring SAML 中的示例应用程序包含使用用户名和密码的基本身份验证和基于 SAML 的身份验证，但基本身份验证部分使用 securityContext.xml 文件中定义的本地帐户。我需要使用 IDP 上的用户帐户。这可能吗？如果是这样，我该如何配置 Spring SAML？

Answer 1

没有标准的 SAML WebSSO 机制允许 SP 通过提供她的凭据来为特定用户请求断言。您可能需要查看 WS-Trust 标准，该标准使用其请求安全令牌方法（RST/RSTR 调用）涵盖此类用例。另一种非常标准化的方法是Client Credentials grant of OAuth 2.0。两者都超出了 Spring SAML 的范围，但可以与它结合使用。