最近、Spring SAML 2.0 を使用しているプロジェクトを継承しましたが、コードは X509 証明書を検証していないようです。タイムスタンプと署名値は検証していますが、証明書自体は検証していないことがわかります。証明書を検証するプロセスを明確に説明しているドキュメントを見つけるのに苦労しています。ここに誰かが私が探している情報を見つけることができる場所を持っているか、それを説明する能力を持っていますか.
質問する
1720 次
1 に答える
4
SAML 2仕様では、サービスプロバイダー（つまり、アプリケーションを消費する）が署名を検証する必要があると述べているだけで、SPが証明書自体に対して検証を実行する必要はありません。つまり、証明書の有効期限や証明書チェーンの有効性を確認する必要はありません。実際、SAML仕様では、長寿命の自己署名証明書、短命の証明書、またはCAによって署名された証明書の使用は推奨されていません。詳細については、この記事を参照してください。
これは、Spring SAML（およびほとんどのSAML2実装）がx509証明書の検証を実行しない理由を説明しています
于 2012-04-17T18:53:27.693 に答える