与传统身份验证一起实施 SAML

Question

我很难找到与现有传统身份验证系统一起实施 SAML 的指导。

我在 CodeIgnitor 中创建了一个 SaaS 应用程序，该应用程序具有典型的普通身份验证系统，使用本地用户表进行散列和加盐等操作。

我希望添加 SAML SSO 以吸引更多企业客户。我有一个问题，但是我的 Google Fu 有什么不足。

如何集成 SAML 身份验证，以便它与我的传统本地身份验证一起工作？如果我的客户选择 SAML，那么我将要求他们将现有的本地帐户绑定到他们的 SAML 联合身份。我该怎么做才能满足我的非 SAML 用户的需求？

我是否需要两个登录 URL，例如我的 SAML 用户的 https://app.com/saml/login 和我的非 SAML 用户的 https://app.com/login，并且只希望客户选择正确的一个？或者我可能先询问他们的电子邮件/用户名，然后要求他们提交该值以查看它们是否是 SAML - 并相应地路由它们？

Answer 1

您需要安装支持 SAML 的身份提供程序 (IDP)。

您使用 IDP 发起的 SAML 配置文件。

您的应用。通过 SAML 堆栈连接到 IDP。

然后其他企业可以与您的 IDP 联合，即通过 SAML 使用其凭据登录到您的网站。

IDP 发起的 SAML 配置文件提供了一个您提供给客户的 URL，该 URL 将他们带到您的 IDP 及其客户凭据，然后再到您的应用程序。

直接访问您网站的用户使用本地连接。

也就是说，不如使用 OpenID Connect - 它更简单，但原理相同。