2022年04月08日
SAML是一种目前应用非常广泛的单点登录协议，如果你运行SAML服务器并与许多其他站点集成，那么几乎可以肯定你使用的是不安全的设置。SAML安全面临的最大威胁不是怪异的XML边缘案例或黑客窃取你的签名密钥，而是低质量的第三方实现，这允许你的用户登录到你认为他们无法访问的应用程序。要确保SAML断言只适用于正确的应用程序，请为每个应用程序或服务提供者使用惟一的签名密钥。
这个问题并不是SAML独有的，签名的JWT和其他SSO的使用(比如OIDC中的使用)也可能遇到类似的问题，即缺少令牌验证。
S