如何从 SAML 2.0 响应中获取基本 X509 凭据

Question

我想验证 saml 响应的签名。目前我可以使用 OpenSAML 从断言中获取签名变量的值。但是，如何获取publickey和publicCredential呢？

try {
            BasicX509Credential publicCredential = new BasicX509Credential();
            publicCredential.setPublicKey(publicKey);
            SignatureValidator signatureValidator = new SignatureValidator(publicCredential);
            signatureValidator.validate(signature);
        } catch (ValidationException e) {
            e.printStackTrace();
           // throw new InvalidAssertionException("Assertion signature validation failed.");
        }

Answer 1

两种方式：

1. 从 IdP 元数据中获取公钥材料。
2. 从 SAML 响应中获取公钥材料（如果有）。

但理想情况下，您应该从在 IdP 和 SP 之间建立信任期间收到的 IdP 元数据中获取公钥材料。这是因为 IdP 和 SP 之间的信任是在配置时建立的，而不是在运行时从 IdP 接收 SAML 响应时建立的。