是否将SAML响应从Web应用程序传递到REST API进行身份验证？

Question

我们有一个使用REST API的Web应用程序。RESTAPI基于环回并使用其内置的基于令牌的身份验证。对于Web应用程序，我们通过HTTPS使用基于表单的身份验证，因此用户必须输入其用户名和密码，然后我们使用这些用户名和密码通过POST/users/loginendpoint从REST API获取访问令牌。

我们的一位客户要求我们通过SAML 2.0和AD FS支持单点登录（SSO）身份验证。

我们将Web应用程序配置为服务提供商（AD FS中的依赖方），并设法为其支持SSO。变化的部分是Web应用程序和REST API之间的身份验证。现在的想法是将Web应用程序和REST APIhtml" target="_blank">配置为同一个依赖方，并向REST API添加新的登录endpoint，以便Web应用程序可以向该endpoint发送saml响应，并根据saml响应中指定的声明获取访问令牌。其他一切都应该像以前一样工作。以下是我想象的流程：

1. Web App生成SAML请求并将用户重定向到IdP登录页
2. 成功登录后，用户将被重定向回具有SAML响应的Web应用
3. Web App充当代理并将SAML响应重定向到REST APIendpoint（POST/users/SAML login），在那里进行验证
4. 如果SAML响应有效，API将根据声明返回访问令牌
5. 与之前一样，Web应用程序使用访问令牌与REST API进行进一步通信

问题是：这样实现基于SAML的SSO可以吗？您是否看到这种方法有任何问题或安全注意事项？有其他选择吗？

我在网上读了很多文章，这里有关于StackOverflow如何使用SAML的问题

• 将SAML断言响应/安全上下文传播到下游服务/应用程序
• 使用SAML进行REST API身份验证
• SAML和后端REST服务身份验证
• 攻击SSO：常见SAML漏洞及其查找方法

它们都没有真正帮助我确认或拒绝上述想法。




Answer 1

这听起来是一个合理的方法。我想不出任何安全问题。您只需在应用程序内部重新发布SAML响应以进行处理。只要在REST API中对SAML响应和断言执行各种安全检查，就不会有任何问题。