saml - SAML 2.0 响应验证

Question

将我的一个应用程序与 SAML 2.0 单点登录集成。为此使用 Okta 提供程序。在 okta 中成功验证并重定向回我的应用程序后，我收到了 base64 编码的“SAML 响应令牌”。在这个令牌中，我看到了我需要的所有用户详细信息，但我的问题来了。我是否需要进一步验证该回复，还是应该相信我收到的回复？考虑到这个令牌还包含签名？

我的安全想法是再次联系 Okta 并验证这是否真的由 Okta 发布。不确定这是否可能。

使用 NodeJS 进行验证。

标签： samlsaml-2.0oktaokta-api

Answer 1

如果您不想在后端进行正确的令牌验证（不要怪您，这很痛苦），然后切换到 OIDC。这更适合前端的身份验证和授权。

但是，如果 SAML 响应被发送到后端并由后端处理，并且一些其他令牌被转发到您的应用程序，那么您应该评估验证该令牌的要求是什么。

您的问题不清楚的是我们正在谈论的用户流程中的哪个位置，因此对我的答案的评论数量。