SAML认证基础上实现授权的路径咨询：属性查询还是LDAP？

一、SAML属性查询的可行性分析 #

• 从技术标准来看，SAML Attribute Query确实是非交互式场景下获取用户权限属性的合规路径，它允许服务提供商（SP）主动向身份提供商（IdP）发起查询，直接获取指定用户的属性信息，全程无需用户参与交互，完全匹配你的非交互式权限校验需求。
• 但现实问题是python3-saml和pysaml2均未封装该功能，手动构建需要严格遵循SAML 2.0规范：
  • 要构造符合格式的<samlp:AttributeQuery>请求，包含正确的签名、断言消费者服务地址、用户唯一标识（如NameID）等核心字段
  • 正确解析IdP返回的<samlp:Response>，提取其中的属性断言数据
  • 手动实现的核心难点在于XML格式合规性、签名验证逻辑，以及与目标IdP的协议适配，对SAML协议细节的熟练度要求较高，容易出现请求被拒、解析失败等问题

二、SAML+LDAP方案的落地优势 #

• 这是业界更普遍的成熟落地方案，逻辑清晰且实施成本更低：
  • 复用现有python3-saml的认证流程，确保用户身份合法性
  • 认证通过后，利用用户唯一标识（如用户名、邮箱）对接LDAP，查询用户的组、角色、权限等授权数据
  • LDAP本身就是专为存储身份与权限数据设计的目录服务，支持高效的查询、更新操作，多数企业已有现成部署，无需额外改造IdP，权限数据的维护也能统一在LDAP中完成

三、方案选择建议 #

• 如果你的目标IdP明确支持Attribute Query，且团队对SAML协议细节有足够积累，可以尝试完善手动构建逻辑：
  • 参考SAML 2.0核心规范的Attribute Query章节，逐字段核对请求格式
  • 借助xmlsec等工具处理XML签名与验证，避免手动实现加密逻辑
• 如果团队对SAML协议细节掌握不足，或者企业已有LDAP基础设施，优先选择SAML+LDAP的方案：
  • 仅需新增LDAP查询模块，无需改动现有SAML认证流程
  • 权限数据的管理更灵活，后续扩展权限规则也更便捷

内容的提问来源于stack exchange，提问作者Lee Elenbaas