Azure AD联合元数据XML中Base64与X509Certificate格式SAML证书差异问询

我们在配置使用SAML的企业应用SSO时，有以下SAML证书选项：

请问联合元数据XML中的Base64编码证书与X509Certificate格式之间是否存在差异？

过去我认为二者相同，使用Base64格式对接应用时未出现问题，但近期使用该格式遇到问题，且发现两种文件包含不同证书。我改用X509Certificate格式作为临时解决方法以确保应用正常运行，现希望确认二者是否本就不同，恳请各位提供见解。

简单来说，二者本质是同一内容的不同包装形式，但你遇到的不同证书问题，大概率是平台提供的两个选项对应了不同的证书实例（比如新旧证书、不同用途的证书），而非格式差异本身。

具体拆解：

• X509Certificate格式：就是把原始DER二进制证书做Base64编码后，加上-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----边界头尾的标准PEM编码格式，也是SAML元数据<X509Certificate>标签通常承载的内容（部分元数据可能直接放不带头尾的Base64）。
• Base64编码证书：这里平台提供的该选项，一般指去掉了头尾边界的纯Base64字符串——理论上和X509格式里的核心编码内容一致，只是少了标识行。

你遇到问题的核心原因并非格式本身，更可能是平台的两个选项指向了不同证书：比如一个是即将过期的旧证书，一个是新的有效证书；或是一个用于签名、一个用于加密。建议你用openssl x509 -in cert.pem -text -noout这类命令，分别解码两个证书查看有效期、公钥、颁发者等信息，就能明确差异点。

另外，对接SAML应用时，部分严格的系统会要求必须带PEM头尾才能识别证书，这也可能是你之前用纯Base64遇到问题的原因之一。

内容的提问来源于stack exchange，提问作者Tinju