spring-saml - 如何使用 SP keystore spring saml 中的证书

Question

我目前正在实现 Spring SAMl 来配置我的 SP。我收到了来自 IDP 的元数据 XML，我将它放在元数据文件夹中。
1.现在启动时出现异常是没有配置IDP，所以发现这是由于证书无效。现在我只需将证书导入 samlKeystore.jks 并把 metadataTrustCheck = false在 扩展元数据委托(delegate) bean ，这帮助我启动 SP 没有任何错误，我得到一个重定向表单 IDP 到 SP，我可以实现我需要的。
2. 现在我刚刚删除了证书 由 IDP 提供，我保存在 中samlKeystore.jks 并重新启动应用程序，然后 IDP 和 SP 之间的通信也没有问题。

我现在有一些需要帮助才能理解的查询。
IDP 提供给我的证书，我已导入到我的 samlKeystore.jks ，这些有什么用，因为响应带有来自 IDP 的签名和证书。为了验证响应，我们应该在响应中使用证书和签名。

我希望这样做metadataTrustCheck = true并更正 IDP 元数据，如果是，如何更正它，因为我有证书链。

Answer 1

您从 IDP 收到的元数据文档包含证书，IDP 将使用这些证书对将发送给您的 SP 的 SAML 消息进行数字签名。无需将这些导入到 samlKeystore.jks，因为它们已经存在于元数据中。

元数据文档本身也可以进行数字签名(以确保在它到达您之前没有人对其进行修改)。现在当metadataTrustCheck = true Spring SAML 将尝试验证此签名是否有效，为此它需要知道是否信任用于创建签名的证书。

因此，您需要与 Spring SAML 通信您信任哪些证书来签署元数据文档 - 您可以通过将它们导入 samlKeystore.jks 来做到这一点。

如果您相信您拥有的元数据文档是正确的，只需禁用 metadataTrustCheck并且不要将任何公共(public)证书导入 samlKeystore - 只需依赖元数据文档本身中的内容。