Saml：在对工件响应进行签名时，是否需要信任和验证 ssl 的公钥？

Question

我已经基于此使用 FilesystemMetadataProvider 进行了实现： https://github.com/vdenotaris/spring-boot-security-saml-sample

为了使工件绑定的 SSL 握手工作，我将端点的 SSL 证书放在 idps 元文件中（我尝试将叶子和 CA 都放在服务器的 jre 和信任存储的 cacerts 中，但那没有不行）。

我不希望在叶证书更改时生成证书和修改 Idps 元文件的额外维护。

真的有必要搞乱传输层吗？检查 SSL 证书是否有效，然后检查 Assertion 的签名还不够吗？

Answer 1

我问了 IDP。他们说很少有人选择信任 SSL 证书，验证 SSL 证书并检查 Assertion 中的签名应该足够了。