来自假 idp 的 spring-saml 断言

Question

使用 WantAssertionsSigned="false" 生成的 SP 元数据允许在 spring-saml sp 中处理假冒的 saml 响应。

也许这很明显，但我希望专家确认。

如果我用“非签名元数据”创建了一个假的 idp 并且 在relying-party.xml 我设置signAssertions="never" encryptAssertions="never",

我可以向 sp 发送我想要的任何断言，因为 verifyAssertionSignature 被跳过并且检查 "// 确保至少一个断言包含身份验证 // 带有不记名确认的声明和主题 " 总是积极的。

我已更改默认值并 boolean wantSigned = true; 在 org.springframework.security.saml.websso.WebSSOProfileConsumerImpl 因为我绝对不允许。

提前致谢

亚历山德罗

Answer 1

将wantAssertionsSigned 设置为false 确实意味着传入的消息不需要数字签名（相当于Shibboleth 中的never/never）。我同意这是一个危险的设置，并且会使其含义更加明确。