在单个 saml 响应中需要多个 saml 断言的用例？

Question

来自http://saml.xml.org/assertions， " 请注意，SAML 响应可能包含多个断言，尽管在响应中具有单个断言更为典型。"

但我想知道一些需要多个断言的实际场景。

Answer 1

断言是身份提供者 (IdP) 提出的声明。 Attribute 包含在 AttributeStatement 中，因此电子邮件地址、名字、姓氏等将是 Attribute 实例中的 AttributeStatement 包含在单个 Assertion 中。每个Assertion 需要一个Subject 并且可以用于不同的事情。通常只有一个Assertion 包含一个AuthenticationStatement 和一个AttributeStatement 包含Attribute 实例。

多个Assertion 的一个用例可能是关于Subject 的声明，其时间限制与Attribute 列表不同。例如也许关于用户的一些事实应该只在短时间内被依赖，由Conditions->NotBefore->NotOnOrAfter 定义。与他们的Attribute 列表可以使用的较长时间段相比，也许某些身份验证机制只允许用户在 IdP 上进行短期身份验证。

您可以在SAMLResponse here 中看到多个Assertion 的用例。