使用SimpleSaml.php将WordPress配置为SAML IDP的相关问题

完全自主实现不需要依赖第三方WP插件，推荐优先使用调用WP原生能力的方案，不需要处理加密密码适配问题： #

首选方案：自定义WP REST API + SimpleSAMLphp自定义认证源 #

这是适配性最高的方案，不受WP和SimpleSAMLphp部署位置限制：

第一步：WordPress端开发自定义凭据校验接口 #

在WP主题functions.php文件或者自定义轻量化插件中新增代码，注册专属REST接口：

• 注册路由如/wp-json/custom/v1/verify-user，仅允许POST请求访问
• 接口接收username、password两个必填参数，直接调用WP原生函数wp_authenticate()处理校验，该函数会自动适配WP所有版本的密码加密规则，无需手动处理哈希比对
• 校验成功返回200状态码，同时返回SAML断言需要的用户属性（用户ID、用户名、邮箱、显示名等）；校验失败返回401状态码
• 补充安全限制：接口添加IP白名单，仅允许部署SimpleSAMLphp的服务器IP访问，避免接口被恶意爆破

第二步：SimpleSAMLphp端配置自定义认证源 #

• 创建自定义认证源（可直接在config/authsources.php中定义，也可封装为独立模块），登录逻辑设置为：收集用户输入的账号密码后，构造HTTPS POST请求调用上述WP接口
• 根据接口返回结果判断认证状态：返回200则提取接口返回的用户属性，填充到SAML断言中；返回401则抛出认证失败提示

备选方案（同服务器部署可用）：直接引入WP核心库校验 #

如果SimpleSAMLphp和WordPress部署在同一台服务器，可以省去HTTP请求环节，性能更高：

• 在SimpleSAMLphp的自定义认证源逻辑中，引入WP根目录下的wp-load.php文件，即可直接调用WP所有原生函数
• 直接使用wp_authenticate()校验用户输入的账号密码，后续流程和上述方案一致

不推荐方案：直接SQL对接WP数据库 #

你之前尝试的SQL对接方案理论上可实现，但维护成本极高：

• WP默认使用phpass算法加密密码，新版本也兼容bcrypt，你需要自行实现对应哈希比对逻辑，先通过SQL查询对应用户的user_pass字段值，再将用户输入的密码按WP的哈希规则计算后比对
• 该方案存在兼容性风险，一旦WP后续调整加密策略，校验逻辑会直接失效，因此不建议使用

通用注意事项 #

• 所有涉及密码传输的环节必须强制走HTTPS，包括SimpleSAMLphp登录页、自定义WP API接口，避免密码明文泄露
• SAML断言的属性字段需要和对接的SP端要求对齐，常用的NameID字段可设置为用户邮箱或WP用户名
• 初期调试可以先关闭签名加密校验，跑通基础认证流程后再逐步开启安全配置

内容的提问来源于stack exchange，提问作者AragornD7