创建SAML SLO请求

Question

作为服务提供商（SP），我正在尝试使用URL重定向流创建SLO请求。在阅读了很多文章后，这就是我想出的：

1. 创建一个注销请求xml并对其进行数字签名
2. 将请求xml转换为base64 url编码字符串
3. 将base64编码的请求xml作为查询字符串附加到SLO url
4. 将页面重定向到上述构造的url（IDP）
5. 然后IDP将在其结束时为所有SP执行必要的SLO步骤并重定向回我们当前的应用程序（发起SLO请求）
6. 解析上述响应并相应地在UI中显示消息

然而，当我进入实际实现时，我面临着以下挑战，其中一些挑战并不特定于SAML SLO。

1. 要对注销请求xml进行数字签名，是否必须从加载/导入x509证书。pfx文件，或者我可以使用证书存储中具有私钥的任何证书吗
2. 出于演示目的，我在本地系统中使用了一个具有私钥的证书，成功地对请求进行了签名。该过程在注销请求xml中附加签名和脉冲密钥信息
3. 我已经对请求xml进行了编码（Base64Url），但生成的字符串长度太长（超过4k个字符），这将超过URL/GET请求中允许的最大长度。我这一步走错了吗
4. 没有一篇文章/SAML规范提到查询字符串应该是什么样子。查询字符串参数名是由SAML规范定义的（我可能没有定义），还是取决于IDP

总而言之，我觉得SAML规范缺少具有适当实现的文章，这使得掌握它的诀窍非常困难。

注意：到目前为止，我没有包含我编写的任何代码，因为我的问题可以在没有它们的情况下得到回答。但是，如果需要，我可以包含它们。

许多参考文章中很少有：

• SSO、SAML和SLO
• SAML注销请求（SP-




Answer 1

我强烈建议使用现有的SAML库，而不是滚动自己的库。

其中一些是免费的，您可以检查源代码以了解如何做到这一点。

或者只使用堆栈本身！