为什么数字签名是 SAML 断言文件的一部分？答案

【问题标题】：Why is digital signature part of SAML assertion file?为什么数字签名是 SAML 断言文件的一部分？
【发布时间】：2017-05-09 13:28:54
【问题描述】：

我需要通过 Postman 手动从 OAuth 2 执行 SAML Bearer Assertion Flow，以证明它可以与我们的后端配合使用。因此，我使用 [1] 作为参考创建了自己的 SAML 断言文件（向下滚动以查看示例 SAML 断言）。

我想知道为什么数字签名（XML 元素 ds:SignatureValue 的值）是包含 SAML 断言的文件的一部分。当然，我不能将签名包含在正在签名的内容中。所以我想知道断言的哪个/哪一部分正在被签名。

【问题讨论】：

【解决方案1】：

在断言中需要ds:SignatureValue 以验证断言部分没有被修改并且旨在由身份提供者 (IdP) 仅发送给服务提供者 (SP)，并且在传输过程中没有其他人被修改。

通常，Assertion 部分（不包括ds:Signature 元素）已签名，设置为ds:SignatureValue 元素，相关签名详细信息附加到ds:Signature 元素并由IdP 发送给SP。

【讨论】：