如何验证翻转证书？

Question

我想验证来自 SAML 断言（由 AZURE AD 颁发）的证书

他们可以随时更新公钥。我假设这意味着我无法在受信任的根存储中手动管理它们。

如果证书不在受信任的根存储中，我正在使用 X509Certificate2.Verify() 返回 False。我应该使用X509Certificate2.Build() 并将其设置为是否受信任？

Answer 1

SAML2 使用证书作为一种以标准文件格式表示加密/签名密钥的便捷方式。证书的内容不相关，因为证书应该在相关各方之间直接交换。所以不需要验证证书的有效性，在许多部署中它甚至不会验证。

对于定期进行密钥翻转的 Idp，您应该加载并信任 Idp 的元数据，而不是直接配置证书。

如果您自己实现所有这些，我建议您花一些时间寻找现有的实现。制作一个支持加载元数据的完整 SAML2 实现并非易事，而且需要大量时间。