我们在服务提供商网站上使用 OpenSAML 为我们的客户提供 SSO。我们的客户(ID 提供者)正在使用 OpenSSO。 OpenSSO 发布的 SAML 响应在涉及签名元素时略有不同，因为它没有被命名空间限定。这似乎不太适合 OpenSAML，它从 samlResponse.getSignature() 方法，因此我无法验证签名。

导致问题的 SamlReponse 的签名片段

<Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <Reference URI="#s2d10cccbd58d1f78c2c76c74c82a236548c929ffd">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <DigestValue>j+KBoDOtEcyCquPTxRCXoBulStQ=</DigestValue>
        </Reference>
    </SignedInfo>
    <SignatureValue>Dv+owuZfGFymGGrw2gHA3/7GVC6mXt8JMW+tOvmtnjTRJZaDE+Nb2NCngio1Tnqu4LWnvVrry4Wk... 6QcIJi/kGc4YFMSQj/Q=</SignatureValue>
    <KeyInfo>
        <X509Data>
            <X509Certificate>MIIEhDCCA+2gAwIBAgIQXxhipi2wpPxWi7MTVfFVHDANBgkqhkiG9w0BAQUFADCBujEfMB0GA1UE... 78Q/lRQuBhHMy02lKctnwjBeEYA=</X509Certificate>
        </X509Data>
    </KeyInfo>
</Signature>

来自另一个有效的 SAML 响应的签名片段

<dsig:Signature xmlns="http://www.w3.org/2000/09/xmldsig#" xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
    <dsig:SignedInfo>
        <dsig:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <dsig:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <dsig:Reference URI="#id-TtLltjcBSOAJ6OipumUEj8o0Qag-">
            <dsig:Transforms>
                <dsig:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <dsig:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </dsig:Transforms>
            <dsig:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <dsig:DigestValue>5c95zhA139qzMvZA2A445F3LWaU=</dsig:DigestValue>
        </dsig:Reference>
    </dsig:SignedInfo>
    <dsig:SignatureValue>JsmRFJn1CjClHs4rf0hrwKzOq6ZtmnOEm/PNiaJvYurko/ZP+PApWhk55x0unIVwZ6XDv3k8Dj81WqUl07J0Dkvzp71bccIgiGTRzoNPT71nBAXxJmZiXz51JWctg13zjxP0oQMSpWytKCrFkCkJ0So3RQl3WixYV3miK0YjJnM=</dsig:SignatureValue>
    <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    </ds:KeyInfo>
</dsig:Signature>

如您所见，来自 OpenSSO 服务器的签名片段不包含 SAML 绑定(bind)规范中指定的 namespace 限定符。

对我来说，最后一个选择是对发布的 SAMLResponse 进行一些处理，将命名空间添加到签名元素之前，以使 OpenSAML 库正常工作。

非常感谢任何有关如何使用 OpenSAML 库解决此问题的想法。

提前致谢 希杰

最佳答案

您可能能够执行一些 DOM 操作来修复 XML。例如，这是我必须编写的一些代码来修复来自客户端的 SAML Response XML 中的一些 namespace 属性(实际上， namespace 是在 Response 元素中定义的，但需要提取断言并需要保留 namespace )。

Element assertionElem = assertion.getDOM();

if (!assertionElem.hasAttribute("xmlns:saml")) {
   assertionElem.setAttribute("xmlns:saml", "urn:oasis:names:tc:SAML:2.0:assertion");
}

if (!assertionElem.hasAttribute("xmlns:ds")) {
   assertionElem.setAttribute("xmlns:ds", "http://www.w3.org/2000/09/xmldsig#");
}

String assertionXml = Serializer.serializeXml(assertionElem, true, true);

您可以将 xmlns="http://www.w3.org/2000/09/xmldsig#"属性添加到签名，然后 setDOM() 进行更新。问题是，samlResponse.getSignature().getDOM() 是否会为您提供 XML，或者您是否必须为整个响应获取 DOM 并从中提取 Signature 元素。

当然，实际上，客户端不应该向您发送命名空间不正确的 XML，但我们知道这是怎么回事。

关于xml - 使用 OpenSAML 和 OpenSSO 的签名验证问题，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3843905/