salesforce - 当证书包含在签名的 SAML 响应中时，为什么我需要与 SSO 的 SP 共享证书？

Question

我只是想知道在使用 Salesforce 实现 SAML SSO 时，我意识到我将证书上传到了 SP 端（即 Salesforce），但是当我们发送签名的 SAML 响应时，我可以看到它已经包含证书。

为什么要提前与 SP 共享证书？

Answer 1

这一切都是为了在系统之间建立信任。如果您不提前向 SFDC 提供您的证书，他们怎么能相信您发送的消息实际上来自您的 IDP？如果没有提前获得您的证书，他们可以验证消息是否完整，但无法验证消息的实际生成者。当您在 SAML 响应中包含您的公钥时，他们可以检查它是否与您与他们共享的公钥相同，并且与您用于生成签名的公钥相同。