SAML 2.0 安全令牌

Question

我有一个 Web 应用程序，它使用身份提供程序根据 SAML 2.0 协议进行身份验证。

此 Web 应用程序（服务提供商）是否必须为每个 Web 服务器请求验证安全令牌（由 IdP 在用户登录 Web 应用程序时提供）。

在我看来，没有必要为每个服务器请求验证安全令牌。 SAML 协议仅在必要的情况下（身份验证、授权）才需要令牌验证。

我是对还是我必须为每个 Web 服务器请求实施令牌验证？

Answer 1

不，服务提供商不需要为每个请求验证 SAML 断言。

SAML 断言包含有关用户的信息，例如用户名是谁、身份提供者如何对用户进行身份验证等。一旦服务提供者从身份提供者那里获得了这个 SAML 断言，它就会验证 SAML 断言，并将用户登录到服务提供者。一旦用户登录，用户只需要使用相同的经过身份验证的会话来访问服务提供商处的受保护资源。用户不必发送 SAML 断言。