带有来自 WSO2 的 SAML 的 Spring WS Security WSS4J答案

【问题标题】：Spring WS Security WSS4J with SAML from WSO2带有来自 WSO2 的 SAML 的 Spring WS Security WSS4J
【发布时间】：2014-06-08 18:12:32
【问题描述】：

之前我假设 WSS4J 与 SAML 不兼容，但是当我看到 http://jaminhitchcock.blogspot.in/2014/05/creating-and-validating-saml-assertions.html 时，我希望尝试一下。但我想使用身份提供者（WSO2）来生成 SAML 令牌。所以我应该能够使用 SecurityPolicy.xml 文件配置 WSS4J，该文件验证来自身份提供者的令牌。请让我知道我可以从哪里开始寻找它？

谢谢

【问题讨论】：

标签： wso2 saml-2.0 wso2is ws-security wss4j

【解决方案1】：

您可以通过两种方式使用 Identity Server 生成 SAML 令牌。

使用身份服务器作为 SAML2 SSO IDP，实现基于 SAML2 SSO Web 浏览器的配置文件。
将身份服务器用作具有 WS-Trust 规范的 STS（安全令牌服务器）。

我认为，您更有可能希望将 Identity Server 用作 STS。使用 STS，Identity Serve 提供了一个 Web 服务来检索 SAML 令牌。默认情况下，可以使用 WS-Security 机制保护此 STS Web 服务。例如，您可以使用用户名令牌保护 STS 服务。然后客户端需要发送带有用户名令牌的 RST 请求。一旦用户通过身份验证，客户端将收到一个 SAML 令牌。我想，你可以从here找到一些关于STS服务的信息

【讨论】：

非常感谢。正如你所说，我现在了解了Web服务客户端的流程。即客户端使用Web服务从STS请求令牌，将令牌嵌入到实际的服务请求中并发送到服务provider.But 我找不到合适的例子来从服务端工作。这就是服务如何验证在 IDP 请求中收到的令牌的方式。它也是网络服务调用吗？安全策略中的 '
w3.org/2005/08/addressing">https://localhost:9444/…>' 会帮助服务验证它吗？任何 Spring-ws 或 CXF 作为服务示例？