如何获取IDP Metadata URL？SAML用户认证标准架构咨询

crewjam库的FetchMetadata是通过HTTP拉取元数据，但对于仅提供本地XML文件的IDP（如Google），可以直接解析本地文件替代URL请求，具体代码如下：

// 读取本地IDP Metadata XML文件
metadataBytes, err := os.ReadFile("path/to/google-idp-metadata.xml")
if err != nil {
    LogIfError(err)
    fmt.Println("读取本地元数据文件失败")
    continue
}

// 解析元数据内容（替代FetchMetadata）
idpMetadata, err := samlsp.ParseMetadata(metadataBytes)
if err != nil {
    LogIfError(err)
    fmt.Println("解析元数据失败")
    continue
}

你尝试用entityId无效的原因是：entityId只是IDP的唯一标识符，不包含SAML认证必需的关键信息（如签名证书、登录端点、断言格式等），只有完整的元数据XML才能提供这些配置项。

核心角色 #

• IDP（身份提供商）：如Google/Okta，负责验证用户身份，签发包含用户信息的SAML断言
• SP（服务提供商）：你的SaaS平台，接收并验证IDP的断言，完成用户登录会话创建

标准流程 #

1. 用户访问SP的受保护资源，SP生成SAML认证请求，重定向用户到IDP的登录端点
2. 用户在IDP完成身份验证（账号密码/多因素认证等）
3. IDP生成签名后的SAML断言（包含用户ID、邮箱等身份信息），通过POST请求发送到SP的ACS（断言消费端点）
4. SP使用IDP元数据中的证书验证断言签名，检查断言的受众（必须匹配SP的entityId）、有效期等，验证通过后为用户创建登录会话

元数据的核心作用 #

• IDP元数据：SP用来信任IDP的依据，包含IDP的entityId、登录端点地址、签名证书、支持的断言格式等
• SP元数据：IDP用来定位SP的断言接收端点，包含SP的entityId、ACS端点地址、请求格式等

注意事项 #

• 本地元数据需定期更新：部分IDP（如Google）会轮换签名证书，需提醒客户定期下载最新的XML文件替换旧文件
• 断言验证必须严格：除签名外，还要验证断言的受众、有效期、签发者等字段，避免伪造断言攻击

内容的提问来源于stack exchange，提问作者Roger