| 核查 | 断言签名、受众限制、时效、重放缓存 |
|---|---|
| 风险 | 断言伪造与重放 |
| 修复 | 强制签名校验 + 受众/时效校验 + 一次性消费 |
核查清单
核查清单
断言是否强制验签（含算法与证书管理）
受众（Audience）与目标 SP 绑定校验
NotBefore/NotOnOrAfter 时效校验
断言 ID 重放缓存（一次性消费）SAML 配置问题常与身份提供方约定不一致：与 IdP 管理员联合核查。
SAML 单点登录配置检查
SAML 断言需校验签名与受众：检查断言签名、加密配置、受众与时效校验，以及注销与重放防护。
易错点
- 只看登录成功路径，忽略断言校验配置
- 证书轮换后旧断言仍被接受
数据来源与参考
- OASIS SAML 2.0 规范
- OWASP SAML Security Cheat Sheet