Spring SAML 2.0

我最近继承了一个使用Spring SAML 2.0的项目，但代码似乎没有验证X509证书。我可以看到它正在验证时间戳和签名值，但不是证书本身。我在查找证明文件的过程中遇到了一些麻烦，这些文件清楚地说明了验证证书的过程，这里的任何人是否有一个位置可以找到我所寻找的信息或有能力解释它。Spring SAML 2.0

来源

2012-04-16 peekay

你的意思是春天SAML不验证证书的有效性等进行验证？ – 2012-04-16 21:17:24

所以在我的测试中，我用已过期的证书替换了现有的证书，并且仍然能够访问该页面。如果我更改时间戳或目标URL或大多数其他参数，我可以强制它失败。尽管过期的证书不会导致失败。我假设我错过了代码中的一些细节。 – peekay 2012-04-17 16:32:44

未使用默认metaIOP安全配置文件检查证书有效性，如果您希望验证这些证书，请改为使用pkix安全配置文件。 – 2014-07-23 06:58:50

SAML 2规范只是声明服务提供商（即消费应用程序）应该验证签名，它不要求SP对证书本身执行任何验证，即不需要对证书过期或有效性进行检查证书链等。实际上，SAML规范建议使用长期居住的自签名证书，不鼓励使用由CA签名的短期证书或证书。欲了解更多信息，请参阅this文章。

这就解释了为什么春天SAML（最SAML2实现）将不会在X509证书

来源

2012-04-17 18:53:27

感谢您的回复我感谢帮助。 – peekay 2012-04-17 19:47:44

Spring SAML 2.0

回答

相关问题