Spring SAML 2.0

私は最近Spring SAML 2.0を使用しているプロジェクトを継承しましたが、このコードはX509証明書を検証していないようです。私はそれがタイムスタンプと署名値を検証しているが、証明書自体は検証していないことがわかります。私は証明書を検証するためのプロセスを明確に説明しているドキュメントを見つけるのに苦労しています。ここにいる人は私が探している情報を見つけることができる場所か、説明する能力があります。Spring SAML 2.0

出典

2012-04-16 peekay

に検証を実行しません理由を説明していますか？ –

私のテストでは、私は期限切れの証明書で既存の証明書を交換し、私はまだページにアクセスすることができました。タイムスタンプやリンク先URL、その他ほとんどのパラメータを変更すると、強制的に失敗する可能性があります。期限切れの証明書は失敗を引き起こすことはありません。私はコード内のいくつかの詳細が欠けていると思います。 – peekay

証明書の有効性は、デフォルトのmetaIOPセキュリティプロファイルではチェックされません。検証する場合は、代わりにpkixセキュリティプロファイルを使用してください。 –

SAML 2仕様では、サービスプロバイダ（つまり、アプリケーションを消費するアプリケーション）が署名を検証する必要があるだけで、SPが証明書自体の検証を実行する必要はなく、つまり、証明書の有効期限または有効性SAML仕様では、長命の自己署名証明書、短命証明書、またはCAによって署名された証明書の使用をお勧めしません。詳細については、thisの記事を参照してください。

春SAML（最もSAML2実装が）あなたは春SAMLは、など、証明書の有効性を検証しないことを意味するかx509証明書

出典

2012-04-17 18:53:27

回答ありがとう私は助けに感謝します。 – peekay

答えて

関連する問題