HTTP 重定向绑定 SAML 请求的 URL 中的签名值应该是什么

Question

此查询是对后HTTP重定向绑定SAML请求中提出的问题的补充。

我试图通过HTTP重定向绑定发送SAML身份验证请求来实现dotnet SSO解决方案。在生成SAML AuthnRequest并使用SP的私有证书计算签名之后，我尝试了两种方法将签名添加到url中。

> < li>

生成SAML验证请求XML。

<?xml version="1.0" encoding="utf-8"?>
<AuthnRequest xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"         
              ID="_d726aced-4c62-4562-8237-062f7faf0750" 
              Version="2.0" IssueInstant="2015-04-03T19:59:58.6709058Z"         
              Destination="https://idp.client.com/adfs/ls/" 
              ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" 
              AssertionConsumerServiceURL="https://serviceprovider.clientportal.com/samlsso.aspx" 
              xmlns="urn:oasis:names:tc:SAML:2.0:protocol"
>
        <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://serviceprovider.clientportal.com</Issuer>
        <NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" />
</AuthnRequest>

使用生成XML签名标签的SAML AuthnRequest XML计算签名，如下所示

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <Reference URI="#_d726aced-4c62-4562-8237-062f7faf0750">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <DigestValue>rxoGtdmI...rgY=</DigestValue>
        </Reference>
    </SignedInfo>
<SignatureValue>XRLdJHIGWClJxp....fTPUfIghl5kTfV4=</SignatureValue>

在查询字符串中添加签名的方法 1

使用 Base64 编码和 URL 编码对 AuthnRequest XML（不嵌入签名）进行编码

按以下方式构造URL：

https://IDP.com/adfs/ls/?SAMLRequest=UrlEncodedBase64AuthnRequest&RelayState=value&SigAlg=value&Signature=UrlEncodedBase64EncodedXMLSignature

方法2：在查询字符串中添加签名

使用 Base64 编码和 URL 编码对 AuthnRequest XML（不嵌入签名）进行编码

按以下方式构造URL：

https://IDP.com/adfs/ls/?SAMLRequest=UrlEncodedBase64AuthnRequest&RelayState=value&SigAlg=value&Signature=UrlEncodedValueExtractedFromSignatureValueTag  

在这两种情况下，我都在IDP上得到签名验证失败。知道如何在URL中生成要发送的签名吗？

这方面的任何帮助都会有很大的帮助！

谢谢，
皮尤什

Answer 1

HTTP重定向绑定中使用的签名不是XML签名。我建议再看看SAML v2.0绑定规范，第3.4节。

或者，看看我们的ComponentSpace SAML v2.0组件。这是的商业产品。NET/ASP。NET，它完全支持SAML规范。

Answer 2

有关如何在使用重定向绑定时包括DSig的具体说明，请参阅SAML 2.0绑定文档中的“第3.4.4.1节DEFLATE编码”。