security - SAML 服务提供者签名验证

Question

这是关于 SAML 协议以及它如何指定 SAML 令牌验证的基本问题。

查看不同的图表和资源，服务提供者似乎不需要调用身份提供者 (IdP) 来验证 SAML 令牌。我有兴趣从 wiki SAMPL_wiki澄清第 5 步（在 SP 处请求断言消费者服务） 。主要是在 Service Provider 上完成令牌验证，无需额外调用 IdP。
令牌验证包括 3 个步骤：
1.验证令牌是否格式
正确 2.验证令牌来自预期的授权
3.验证令牌适用于当前应用程序

这个假设正确吗？

Answer 1

从很高的层次上看，是的，你的三个步骤是正确的。

更详细：

1 将包括解码 base64 编码的响应、检查模式等。

2 将通过签名验证、检查权限、查看它是否是对发送的 AuthnRequest 的响应并匹配它等来完成。

3 来自检查中继状态并确保它是受服务提供商“保护”的位置