OneLogin关于PHP简单SAML的两个问题

Question

如果有人有使用Simple SAML（PHP）的经验https://github.com/onelogin/php-saml我将非常感谢您的帮助。

首先，我已经让它工作了。我的应用程序是服务提供商，它确实允许外部身份提供商进行身份验证。万岁！

然而，作为该过程的一部分，我提出了两个问题：

1） 我的SP生成元数据URL。如果客户机已经提供了其IDP的详细信息，那么该代码可以正常工作。我可以看到php saml代码构建了settings对象，该对象验证并返回元数据XML。一切都很好。

但是如果客户端请求元数据URL（为了在他们的IDP中配置我的SP），它会报告错误：

"无效的数组设置：idp_entityId_not_found、idp_sso_not_found、idp_cert_or_fingerprint_not_found_and_required"

显然，这一例外是不言而喻的：当然，这些细节确实还没有提供。

因此，我的问题是：在查看SP元数据的XML时，它不会返回其IDP的任何详细信息，所以为什么它不能在不知道这些详细信息的情况下生成元数据？

这是一个令人担忧的原因，如果IDP在他们的末端有相同的问题（即他们不会有SP的详细信息，得到相同的错误，因此两者都不能继续）？！

2） 作为设置数组的一部分，它要求x509证书和私钥来签署请求。目前我正在使用我的站点的SSL证书（my domain.com）。一切正常。

但是我看到其他SP让人们下载他们的证书。

所以我可以让人们下载我证书的x509部分——我想是公共位。但我想知道证书是否需要链接到元数据/ACS URL使用的域？

或者它可以是任何旧证书，例如自签名证书？你会怎么做？

谢谢我被这弄糊涂了。这当然不简单。

Answer 1

我是OneLogin SAML工具包的维护者。

与1）我们已经收到了拆分设置验证的请求，我们将很快在所有工具包中实施该请求：https://github.com/onelogin/python-saml/issues/74

与2）相关

SAML需要x509证书/密钥才能对SAML元素进行签名/加密。

>

其他人使用自签名证书，（您可以使用该工具创建自己的证书(https://www.samltool.com/self_signed_certs.php). 我建议在创建它们时使用IdP/SP域，以便以后能够识别它们（但SAML不需要）。您可以使用旧的，但由于您可以随时生成它们，因此将它们链接到域并更新是一种很好的做法，避免其他人在过去共享）。