java - 使用 SAML 作为未加密 HTTP header 保护站点的桥梁

Question

我正在尝试尽可能多地阅读 SAML 2.0，并且想知道是否可以放置 SAML 代理(不确定术语是否正确，但从架构上来说这对我来说很有意义)这将捕获入站 SAML 请求并执行“转换”为 Unencrypted HTTP Header protected website 。

对于客户端来说，它“看起来”像一个受 SAML 保护的站点，但实际上，有一个 Java Servlet(或类似 Java 的东西)可以完成所有处理，但实际上只发送(或代理)需要的内容访问仅未加密的 HTTP header SSO 网站。

这可能吗？

Answer 1

如果我正确理解您的问题，我认为 Shibboleth SP 的作用正是您所描述的。

Shibboleth SP 可以作为 Apache、IIS 等上的模块安装。它充当通往真实 Web 应用程序的大门。它处理身份验证，并通过环境变量或 http 头将用户信息传递到您的 web 应用程序。

您可能想阅读此处的页面 https://wiki.shibboleth.net/confluence/display/SHIB2/Home充分理解它是如何工作的。我很确定它的工作原理非常像您想要的。