要在 SAML 2.0 中充当服务提供者，Web 应用程序需要进行哪些更改？

Question

我一直在阅读有关 SAML 2.0 及其实现的信息，但到目前为止，我还没有找到任何关于该领域与 Web 应用程序集成的资料。

我想知道 Web 应用程序（即 www.my-app.com）需要进行哪些更改，以便当用户输入此 URL 时，它将被重新路由到服务提供商以生成 SAMLRequest等等，并与 IdP 进行通信。

其次，当 IdP 将 SAMLResponse 发送回 SP（Assertion Consumer Service）时，SP 如何将响应的结果返回给 Web 应用程序？

提前致谢！

Answer 1

“Web 应用程序是受保护的资源”并且您想使用 SAML 作为协议。

为此，您的应用程序必须有一个 SAML 客户端堆栈。参考：SAML : SAML connectivity / toolkit

应用程序是 .NET、Java ... 吗？

另一种选择是使用中间 SP 作为桥梁。大多数 IDP 也可以作为 SP 运行，它们同时支持 WS-Fed 和 SAML。因此，您可以以 WS-Fed 的形式进入，以 SAML 的形式退出。

不，您可以拥有一个 SP 并将多个应用程序连接到它。

Answer 2

在查看作为服务提供商 (SP) 以请求安全令牌的架构时，上述答案非常有用。协议的选择很重要。如果您想成为云供应商，SAML 是当前领先且受支持最多的协议。如果这是用于本地集成并且您的技术堆栈是 .NET，那么 WS-Federation（包含 SAML）是协议的另一种选择。

您还询问过，SP 如何将响应结果返回给 Web 应用程序？在联邦的世界中，每个 Web 应用程序通常通过一些 HTTP 会话 cookie 的实现来管理自己的会话。 SSO IdP 服务器有一个会话 cookie，您的 SP Web 应用程序也有自己的会话 cookie。收到 SAMLResponse 后，您的应用程序将验证 SAML（例如数字证书、颁发者、受众等）。如果有效，它将读取“主题”和任何属性，然后为您的应用程序创建 HTTP 会话 cookie。如果您使用某种类型的基于容器的安全模型，则可以将“主题”声明给容器，或者您的应用程序可以读取 HTTP 会话 cookie，或者您可以实现自己的安全模型。