java - 用于 HTTP 绑定(bind)的 SAML

Question

我有一个 Web 服务，其中传递有 SOAP 绑定(bind)和 SAML token 。是否还有将 SAML 应用于 HTTP 绑定(bind)的标准实践？您能提出任何替代方案吗？

(我需要 HTTP 绑定(bind)，因为想要使用 KVP 请求和 image/jpg mime 类型)

Answer 1

如果您询问如何使用 SAML token 对 http 请求进行身份验证，一般答案是不会。您使用 SAML token 对服务进行身份验证，然后为 http 请求分发 cookie。至少，对于最终用户来说是这样做的。

如果您使用 API(例如 REST API)执行某些操作，那么您会执行类似的操作，但没有 cookie。您进行 API 调用进行身份验证，向其提供有效的 SAML token ，这将为您提供一个 key ，然后您使用这些 key 对整个请求进行签名 (HMAC)。这可以在授权 header 中完成(这是正确的方法)或作为参数附加。服务器检查消息上签名/HMAC 的有效性，如果有效，则执行 API 调用。

This这是对技术的长时间讨论。 This是一篇关于这样做的 MSDN 文章。虽然它适用于 C#，而不是 Java，但有关安全注意事项的部分是直接适用的，并且是我在一些简短的谷歌搜索中找到的最好的。