SAML- 安全断言标记语言

一、概念

安全断言标记语言（SAML）是一种开放标准，用于在各方之间（特别是身份提供商和服务提供商之间）交换身份验证和授权数据。SAML
是一种基于XML的安全断言标记语言（服务提供商用来做出访问控制决策的语句）。SAML 也是：

一组基于 XML 的协议消息
一组协议消息绑定
一组配置文件（利用以上所有内容）

SAML 解决的一个重要用例是Web 浏览器单点登录(SSO)。单点登录在安全域内相对容易实现（例如，使用cookie ），但跨安全域扩展
SSO 则更加困难，并导致不可互操作的专有技术的激增。SAML Web 浏览器 SSO 配置文件经过指定和标准化以促进互操作性。

SAML 规范定义了三种角色：主体（通常是用户）、身份提供者(IdP) 和服务提供者(SP)。

二、原理

在这里插入图片描述

1. 请求 SP 处的目标资源（仅限 SAML 2.0）

主体（通过 HTTP 用户代理）向服务提供者请求目标资源：

https://sp.example.com/myresource

2. 重定向到 IdP 处的 SSO 服务（仅限 SAML 2.0）

服务提供商确定用户的首选身份提供商（通过未指定的方式）并将用户代理重定向到身份提供商处的 SSO 服务：

https://idp.example.org/SAML2/SSO/Redirect?SAMLRequest=request

参数的值SAMLRequest（由上面的占位符表示request）是压缩元素的Base64编码。 samlp:AuthnRequest

3. 在 IdP 处请求 SSO 服务（仅限 SAML 2.0）

用户代理通过步骤 2 中的 URL 向 SSO 服务发出 GET 请求。SSO 服务处理该请求AuthnRequest（通过 URL 查询参数发送SAMLRequest）并执行安全检查。如果用户没有有效的安全上下文，身份提供者将识别该用户（详细信息省略）。

4. 使用 XHTML 表单进行响应

SSO 服务验证请求并使用包含 XHTML 表单的文档进行响应：

    <form method="post" action="https://sp.example.com/SAML2/SSO/POST" ...>
    <input type="hidden" name="SAMLResponse" value="response" />
    ...
    <input type="submit" value="Submit" />
  </form>