加密SAML令牌
我正在使用php saml工具包https://github.com/onelogin/php-saml在web应用程序中实现SSO。身份验证本身可以工作，但当我与拦截代理进行检查时https://portswigger.net/burp/communitydownloadsaml标记以清晰的形式显示（作为xml，带有用户名以及为身份验证传递的所有信息）。在连接器和设置中https://github.com/onelogin/php-saml/blob/master/settings_example.php我已设置证书（在idp/x509cert中）
我不确定certFingerprint的存在是否有区别，我尝试了使用和不使用，两种情况下saml令牌都很清楚。
这个saml响应是否可以加密？它仍然是签名的，因此无法更改，但清楚地保存这些数据对我来说仍然是个问题
共有1个答案
您确实可以对SAML响应进行加密，并且需要由Onelogin管理员为您的应用程序进行设置。使用TLS可以减轻对响应（或断言）的加密，因为您已经在传输层进行了加密，我看到的大多数应用程序都不加密响应或断言，但如果需要，可以在Onelogin中使用。
-
我们正在使用JWT Nuget来创建和验证令牌。下面是我们用来创建令牌的代码 我的理解是，这不会加密令牌，因为我能够通过访问jwt.io解析令牌，并且能够读取内容。我想加密令牌，这样它就不应该被解析。我在JWT Nuget中找不到任何可以加密令牌的方法。 那么如何使用JWT nuget对令牌进行签名和加密呢？ 编辑： 我知道JWT不需要任何加密，因为只有经过身份验证的用户才能读取令牌，这意味着，我
-
我正在尝试使用带有相同密钥和 iv 的 AES 加密相同的文本。我使用 bash 方法和 ruby 的 openssl stdlib，并对加密结果进行 b64 编码。但结果不同！我试图理解为什么。这是我所做的： 红宝石（1.9.3-p448） 砰砰�� -iv参数设置为上面计算的iv_hex值。 ========================================= 我仔细检查了静脉注
-
问题内容： 为了生成用于访问我们的API的32个字符的令牌，我们目前使用： 我已经读到，这种方法不是基于密码的安全性，因为它基于系统时钟，这将是一个更好的解决方案，因为它很难预测。 如果是这种情况，等效代码将是什么样？ 我猜是这样的，但是我不知道这是否对… 我应该传递给函数什么长度也有意义？ 问题答案： 这是正确的解决方案：
-
我知道SAML是如何用于单点登录（SSO）的。也就是说，从SP重定向到IDP，并从SAML响应/断言获取用户身份。 我的问题是-SAML 2.0规范是否定义了如何将用户名和密码作为SAML请求xml的一部分进行身份验证？请注意，我不是在谈论单点登录，只是想要用户名/密码的身份验证。 谢谢，
-
我正在阅读关于JWT Web令牌作为响应用户的访问令牌的文章。其中一些提到Web令牌应该能够被用户解码。 这是否意味着解密整个web令牌不是一个好的做法？例如，我假设将下面的JWT web令牌返回给用户，在那里可以对这段信息进行解码。 但是，我觉得我不想让用户能够解码他/她的访问令牌，所以我使用另一种加密算法将所有内容加密为另一种形式，如下所示并传回给用户。 所以，当我在服务器中得到这个访问令牌并
-
问题内容： 尝试使用SAML 2.0解密加密的断言时遇到问题。我使用的库是OpenSAML Java库2.5.2。 加密的断言如下所示： 我确实使用以下openssl命令将PEM格式的私钥转换为pkcs8格式： 然后，我准备尝试解密加密的断言。这是我的Java代码： 运行此代码总是导致无法解密断言。我确实收到以下错误： 我真的不知道在这种情况下我在做什么错。我将私钥转换为pkcs8，加载了SAML