java - SAML 请求签名验证失败

Question

SAML 请求的以下部分是否会导致 Caused by: com.sun.xml.wss.impl.WssSoapFaultException: Signature verify failed 异常？

<ds:KeyInfo>
<ds:X509Data/>
</ds:KeyInfo>

谢谢。

Answer 1

是的，可以。 SAML 消息中的 Signature/KeyInfo/X509Data 元素应包含带有用于签署 SAML 消息的公钥的证书。在您的情况下，它是空的，这可能会导致签名验证错误。

另请注意，通常您会通过带外可信 channel 提前确定发送者公钥的真实性。仅当您收到多个公钥或使用证书颁发机构时，您才可以使用 X509Data 作为指向实际公钥的指针。

请注意，KeyInfo 元素是可选的，发送者可以从 Signature 中省略它，在这种情况下，这比提供空元素更好，因为它可能会破坏接收软件。后者似乎正在发生在这里。 FWIW:绝大多数 SAML 实现始终包含 KeyInfo 元素。