Spring SAML 2.0

我最近繼承了一個使用Spring SAML 2.0的項目，但代碼似乎沒有驗證X509證書。我可以看到它正在驗證時間戳和簽名值，但不是證書本身。我在查找證明文件的過程中遇到了一些麻煩，這些文件清楚地說明了驗證證書的過程，這裏的任何人是否有一個位置可以找到我所尋找的信息或有能力解釋它。Spring SAML 2.0

來源

2012-04-16 peekay

你的意思是春天SAML不驗證證書的有效性等進行驗證？ – 2012-04-16 21:17:24

所以在我的測試中，我用已過期的證書替換了現有的證書，並且仍然能夠訪問該頁面。如果我更改時間戳或目標URL或大多數其他參數，我可以強制它失敗。儘管過期的證書不會導致失敗。我假設我錯過了代碼中的一些細節。 – peekay 2012-04-17 16:32:44

未使用默認metaIOP安全配置文件檢查證書有效性，如果您希望驗證這些證書，請改爲使用pkix安全配置文件。 – 2014-07-23 06:58:50

SAML 2規範只是聲明服務提供商（即消費應用程序）應該驗證簽名，它不要求SP對證書本身執行任何驗證，即不需要對證書過期或有效性進行檢查證書鏈等。實際上，SAML規範建議使用長期居住的自簽名證書，不鼓勵使用由CA簽名的短期證書或證書。欲瞭解更多信息，請參閱this文章。

這就解釋了爲什麼春天SAML（最SAML2實現）將不會在X509證書

來源

2012-04-17 18:53:27

感謝您的回覆我感謝幫助。 – peekay 2012-04-17 19:47:44

回答

相關問題