spring - 在 Spring SAML 扩展中使用 samlKeystore.jks

Question

我是 SSO 和 Sping SAML 扩展的新手。我已经在我们的应用程序中实现了 Spring SAML 扩展，我们的应用程序充当 SP。我有以下与我们的要求有关的问题。

1）我想了解 samlKeystore.jks 在 Spring saml 扩展中的使用 2）我想知道我们是否可以以任何方式跳过 samlKeystore.jks 的使用。基本上，客户可以向我们提供有关元数据的信息，除此之外没有其他信息。如果我们使用的是 samlKeystore.jks，我们还需要其他信息吗

Answer 1

如果您不需要签署 SAML 协议消息或加密 SAML 断言，则不需要密钥库。然而，一些 SAML 绑定强制或至少强烈建议签名，以便协议消息不会在用户代理处被篡改。

Answer 2

密钥库用于存储私有证书，用于对服务提供者创建的消息进行数字签名以及解密从身份提供者发送的消息。

Spring SAML 当前要求您至少有一个可用的默认密钥，即使它不会被使用。