根据凭据验证 SAML 断言 - opensaml 3

Question

我已经使用SAMLSignatureProfileValidator 验证了签名，但据我了解，当我使用它验证签名时，它只能确保响应没有被篡改。 IE。它检查签名的结构以确保其格式正确。

如何使用来自 IdP 的证书或凭据的公钥验证 SAML 断言？我是否必须手动定位证书节点并比较值...？我正在使用 OpenSAML3 并且没有 SignatureValidator 所以我无法传递 pub 密钥。

Answer 1

OpenSAML V3 中的签名验证器不再实例化，而是使用 SignatureValidator 上的静态方法进行验证。使用 SignatureValidator.validate 方法验证签名。