8.5. SAML

    • SP生成认证请求SAML返回给Client
    • Client提交请求到IDP
    • IDP返回认证请求
    • Client登陆IDP
    • Client提交SAML给SP
    • SP读取SAML，确定请求合法，返回资源
    • 源于ssl模式下的认证可选性，可以删除签名方式标签绕过认证
    • 如果SAML中缺少了expiration，并且断言ID不是唯一的，那么就可能被重放攻击影响