如何使用Spring Security SAML扩展对SAML请求/响应进行签名

Question

我能够使用Spring Security SAML扩展使我的应用程序充当IDP socircle的SP。我的客户有以下要求：

1.对断言进行签名：从IDP发送的断言进行了签名，并且运行良好。

在考虑到弗拉基米尔的评论之后。我将绑定更改为HTTP-Post，所以现在我发送带有所示签名的SAML请求。通过执行以下操作，我能够发送使用我的私钥（而不是示例项目提供的私钥）签名的请求：

1. 使用keygen工具创建密钥存储库、CSR和公钥证书。
2. 更新我的SP元数据文件中的数字签名部分以获得新证书
3. 从IDP SSOCIRCLE中删除旧的SP元数据文件并添加新的SP元数据文件
4. 更改spring配置，使JKSKeyManager使用我使用新别名和密码创建的新密钥库。

我现在需要做的是让IDP（SSOCIRCLE）将响应发送到。响应签名为B。对断言进行签名

怎样才能做到呢？如果响应的签名应该不同于断言的签名，那么我需要做什么更改来处理这个问题。多谢了。

Answer 1

HTTP重定向绑定要求在发送消息之前删除SAML消息本身上存在的任何ds:signature元素：

必须删除SAML协议消息上的任何签名，包括XML元素本身。注意，如果消息的内容包括另一个签名，例如一个签名的SAML断言，则不会移除这个嵌入的签名。然而，这种消息在编码后的长度基本上排除了使用这种机制。因此，不应使用此机制对包含签名内容的SAML协议消息进行编码。(SAML2-绑定，578-582，从PDF粘贴副本）

同时，HTTP重定向绑定要求将新的数字签名作为参数signature附加到GET URL。

除了在断言中包含签名之外，还没有标准的方法强制IDP发送消息级签名的响应消息。在使用SSL/TLS的情况下，消息的真实性和不可否认性（数字签名的特征）由传输层提供。