SAML SSO 证书不匹配但仍然有效？

Question

快速提问，

对于 IdP 发送的证书旧且与 SP 期望的证书不匹配但 SSO 仍然有效这一事实是否有任何解释？

会不会是其他地方的公钥仍然匹配？

Answer 1

我看到证书中的公钥没有变化，但到期日期、序列号等确实发生了变化。不过这并不常见。

更可能的情况是：

(i) IdP 正在使用 SP 期望的证书，

(ii) SP 正在使用嵌入式证书，

(iii) SP 未验证签名。

如果您查看收到的 SAML 响应，它通常包含嵌入在 XML 签名中的 base-64 编码证书。

您可以根据您期望的证书来检查它。