使用 SAML 进行身份验证

Question

我的客户要求我开发一个网站 api 并使用 SAML 作为身份验证。

我从这个 site 中看到下面的图片，它显示了身份验证流程。

但是我不知道如何使用认证后生成的token。

• 我是否需要将其存储为任何其他会话变量？
• 我必须在特定时间后续订 token 还是在整个会话期间持续？

注意：授权服务器/idP由对方维护。

Answer 1

由于您自己开发网络 API，因此无需刷新令牌。

您 API 需要添加为 IdP 的依赖方。之后，您可以重定向到 IdP 并启动身份验证。您取回的令牌包含多个属性（也可在 IdP 上配置），如唯一用户 ID (uid)、电子邮件、姓名、国家/地区等...

在大多数情况下，此令牌是使用 public/private 密钥签名的。您的 API 服务器需要验证令牌的签名、发行者（IdP）、受众（您的 API）并使用属性。一切正常后，您需要为本地配置的用户帐户。

由于这是一个复杂的过程，具体取决于您使用的 language/framework，您可能需要查看现有的实施。