如何强制要求Saml2AuthnResponse必须携带有效签名？

签名缺失无异常是否为预期表现 #

这是绝大多数SAML2服务提供方（SP）实现的默认预期行为。SAML2核心规范仅要求「如果响应携带签名则必须验证有效性」，未强制要求所有Saml2AuthnResponse必须携带签名，因此默认配置下库逻辑会跳过签名校验步骤，不会抛出异常。

未签名场景的安全风险 #

即便当前场景使用了HTTPS传输、且断言已加密，仍存在以下安全风险：

• HTTPS仅能保障传输层的链路完整性，无法防止身份提供商（IdP）侧内部篡改、或者多租户IdP环境下恶意租户构造伪造响应的风险
• 加密断言仅能避免断言内容被第三方窃取，无签名的响应无法校验来源合法性，攻击者可替换整个响应为构造的恶意内容，若SP未严格限制断言加密要求，甚至可以直接注入未加密的恶意断言完成绕过
• 无签名的响应不具备不可否认性，出现安全问题时无法举证该响应确为合法IdP签发

强制要求响应携带签名的方法 #

所有主流SAML2 SP库均支持开启强制签名校验配置，开启后无签名的响应会直接抛出校验失败异常。不同框架的配置示例如下：

ITfoxtec Identity SAML2 (.NET) #

services.AddSaml2(config =>
{
    // 强制要求Saml2AuthnResponse必须携带有效签名
    config.RequireSignedAuthnResponse = true;
    // 可同时开启强制断言签名，进一步提升安全性
    config.RequireSignedAssertions = true;
});

Spring Security SAML2 (Java) #

RelyingPartyRegistration registration = RelyingPartyRegistration.withRegistrationId("your-idp")
    .assertingPartyDetails(party -> party
        // 强制要求响应必须签名
        .requireSignedResponses(true)
        .requireSignedAssertions(true)
    )
    .build();

PySAML2 (Python) #

在sp_conf配置中添加如下参数：

CONFIG = {
    "service": {
        "sp": {
            "want_response_signed": True,
            "want_assertions_signed": True
        }
    }
}

内容的提问来源于stack exchange，提问作者nixx