通过OIDC令牌换取SAML断言，实现移动应用无登录SAML认证

以下是几种基于同一IDP已完成OIDC集成前提的可行技术方案：

• OAuth 2.0令牌交换（RFC 8693）
  利用IDP支持的令牌交换端点，将OIDC访问令牌转换为SAML断言。核心请求参数包括：

  • grant_type=urn:ietf:params:oauth:grant-type:token-exchange
  • subject_token：移动应用持有的有效OIDC访问令牌
  • subject_token_type=urn:ietf:params:oauth:token-type:access_token
  • requested_token_type=urn:ietf:params:oauth:token-type:saml2
  • audience：目标SAML应用的实体ID或受众标识
    示例请求（表单编码格式）：

  POST /token HTTP/1.1
  Host: your-idp-domain.com
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=urn:ietf:params:oauth:grant-type:token-exchange
  client_id=mobile-app-client-id
  client_secret=your-client-secret
  subject_token=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...
  subject_token_type=urn:ietf:params:oauth:token-type:access_token
  requested_token_type=urn:ietf:params:oauth:token-type:saml2
  audience=https://saml-app.example.com/entity-id
  

  要求IDP必须实现RFC 8693规范，移动应用需持有合法的客户端凭证和有效的OIDC访问令牌。

• IDP专属SAML断言生成端点
  多数主流IDP（如Okta、Azure AD、Ping Identity）提供自定义或标准化的端点，允许已授权的客户端提交OIDC令牌直接获取SAML断言。
  操作逻辑：移动应用携带OIDC访问令牌调用该端点，指定目标SAML应用的实体ID，IDP验证令牌有效性后生成并返回签名的SAML断言。
  注意：不同IDP的端点路径、参数要求差异较大，需参考对应IDP的官方文档配置。

• 会话上下文复用
  移动应用通过OIDC完成认证后，IDP已为用户建立有效会话。此时内嵌浏览器打开SAML应用时，可通过两种方式复用会话：

  1. 共享会话Cookie：确保内嵌浏览器的WebView配置允许共享IDP的会话Cookie，SP发起SAML认证请求时，IDP识别到已有会话，直接返回断言无需重新登录。
  2. 传递会话标识：移动应用将OIDC会话ID通过加密/签名的URL参数传递给内嵌浏览器，SP的认证请求携带该标识，IDP验证后生成断言。

• 客户端侧令牌转换（仅限测试/非敏感场景）
  在IDP不支持上述服务端转换方案的极端情况下，可尝试用OIDC ID令牌中的用户信息构造SAML断言，但生产环境绝对禁用——客户端无法安全持有SAML签名密钥，生成的断言无法被SP可靠验证，存在篡改风险。

内容的提问来源于stack exchange，提问作者92gupta