Spring SAML - 在 JKS 中使用 CA 根证书而不是服务器公共证书

Question

我有一个 Spring SAML 项目，该项目有一个 JKS，其中加载了 IDP 的公共证书。我有一个理论问题：

如果我将发布根或中间 CA 加载到 JKS 中，这是否足以信任 IDP 并验证 IDP SAML 消息？这样做的好处是，未来拥有共同颁发者的 IDP 将受到信任，而无需加载他们的证书。

我的理解是 IDP 的实际公共证书需要在 JDK 中，以便 Spring SAML 可以验证请求，但是，请求中的 X509 不足以执行此操作，这只是验证的问题IDP 公共元数据中的证书是否来自受信任的颁发者？

我对此有点过头了。任何见解或解释将不胜感激！

Answer 1

是的，您可以使用 PKIX 安全配置文件来做到这一点。将 IDP 证书加载到密钥库中就足够了（前提是 extendedMetadata 中的trustedKeys 为空，这是默认值）。

详情请见the manual, chapter security profiles。