【发布时间】：2012-01-31 14:55:38
【问题描述】：
在 SAML 2.0 中，您可以使用 AttributeStatement 元素来提供任何类型的应用程序特定信息。
我想知道的是，在 SAML 断言中传递业务相关信息真的是一个好的设计吗？不应该在例如提供这些数据吗？单独的 Web 服务调用？
我只是想在这种情况下寻求最佳实践或任何现实世界的经验。
问候， 安德烈亚斯
【问题讨论】：
【发布时间】：2012-01-31 14:55:38
【问题描述】：
这在很大程度上取决于您所传达的信息。例如，在我处理的应用程序中，我们使用属性来指示应该向正在登录的用户显示哪些网站功能。这显然是一个适当的用途。现在，我们还允许使用属性来创建用户配置文件，即使我们有一个做同样事情的 Web 服务（实际上，实现在后台调用 Web 服务）。这不是那种事情的理想环境。没有端点可以传达 Web 服务响应，或者尝试导致的任何错误。但是我们从客户那里得到了相当多的阻力，他们不想在进行 SSO 调用之前调用单独的 Web 服务。所以我们不得不妥协。我们所做的是，如果客户想要使用这个特定的功能，他们需要提供一个端点（电子邮件地址或网页）来接收来自 Web 服务调用的错误。如果他们担心所传递信息的安全性，他们可以使用标准 XML 加密。
【讨论】：
-
是的，我同意。如果您只提供有限的一组功能，并希望避免构建单独的 Web 服务的成本，那么应该没问题。