SAML 2.0安全令牌

Question

我有一个Web应用程序，它使用身份提供程序根据SAML 2.0协议进行身份验证。

此Web应用程序（服务提供者）是否必须验证每个Web服务器请求的安全令牌（当用户登录Web应用程序时由IdP提供）。

在我看来，没有必要验证每个服务器请求的安全令牌。 SAML协议仅在必要情况下需要令牌验证（认证，授权）。

我是对的还是od我必须为每个Web服务器请求实现令牌验证？

Answer 1

不，服务提供商不需要验证每个请求的SAML断言。

SAML断言包含有关用户的信息，例如用户名是谁，身份提供者如何验证用户等等。一旦服务提供者从身份提供者获得这个SAML断言，它就会验证SAML断言，并将用户登录到服务提供者。一旦用户登录，用户只需要使用相同的认证会话访问服务提供商处的受保护资源。用户不必发送SAML断言。