SAML Запрос подтверждения проверки подписи

Question

Может ли следующая часть запроса SAML привести к вызванному: com.sun.xml.wss.impl.WssSoapFaultException: Ошибка проверки подписи?

<ds:KeyInfo> <ds:X509Data/> </ds:KeyInfo>

Спасибо.

Answer 1

Да, может. Элемент Signature/KeyInfo/X509Data в сообщении SAML должен содержать сертификат с открытым ключом, который использовался для подписания сообщения SAML. В вашем случае оно пустое, что может привести к ошибке проверки подписи.

Также обратите внимание, что обычно вы устанавливали аутентичность открытого ключа (ов) для отправителя заранее по каналу, находящемуся вне диапазона. Вы использовали бы только X509Data в качестве указателя на фактический открытый ключ, если вы получили более одного или используете Центр сертификации.

Обратите внимание, что элемент KeyInfo является необязательным, и отправитель может опустить его из Signature, что было бы лучшим выбором в этом случае, чем предоставление пустого элемента, поскольку он может нарушить получение программного обеспечения. Последнее, кажется, происходит здесь. FWIW: подавляющее большинство реализаций SAML всегда включает элемент KeyInfo.