针对SAML IDP验证移动用户

Question

我正在寻找针对SAML IDP的-验证移动应用用户的解决方案，并且有一些基本的查询（我是SAML的新手，OAuth：））在这种情况下，流程可能就像移动用户将被IDP验证一样，即SAML响应由IDP生成的信息被发送到服务提供商（通过移动浏览器-Webview）。然后，服务提供商将创建一个令牌，该令牌将由移动应用用于后续调用。这种认识正确吗？

此外，移动用户如何在IDP进行身份验证，我的意思是，相应的IDP应该支持移动应用程序吗？IDP的登录屏幕将在登录时在手机上看到？

在我的应用程序中，目前，移动（Rest API）用户在数据库中根据其应用程序的凭据进行身份验证。但是现在桌面应用程序正在合并SAML进行身份验证。因此，移动用户需要针对SAML IDP进行身份验证。

提前谢谢！

Answer 1

是的，你的理解是正确的。为了在移动客户端上使用SAML IDP，您需要执行与普通客户端相同的过程（AuthnRequest）-

• 您的移动应用程序将打开WebView，它将访问SP的公共URL
• 您的SP通过使用AuthnRequest向SAML IDP发送重定向来启动IDP身份验证
• 用户在IDP的UI中进行身份验证（当使用移动客户端打开时，该UI应该能够正确呈现给移动客户端）
• IDP通过响应重定向回您的SP
• SP应用程序处理响应并生成可用于Rest API的令牌
• SP将令牌传回移动应用程序（例如，使用WebViewClient on PageFinished cookies，或调用addJavascriptInterface提供的对象，或您已经使用的任何东西）

与通常使用IDP进行的移动身份验证（例如在Facebook/Google上使用OAuth 2）相比，SAML更加复杂。在OAuth 2.0中，通过使用自定义URL方案，很容易提取授权令牌并截获响应，而不需要web部署（SP）组件。由于SAML不支持类似于Oauth中“隐式”的流（出于安全原因），并且由于SAML响应的处理要复杂得多（由于XML签名、XML加密等原因），使用SAML时，这种方法不可行。