SP发起的SAML流程中，SAMLResponse的InResponseTo字段要求出现在哪里？

IdP不可以自由选择InResponseTo的存放位置，SP发起的SAML 2.0 Web浏览器SSO流程中，InResponseTo在两个位置有明确的强制要求，不能随意替换或放置到其他位置：

• Response标签级的InResponseTo属性：SAML Core 2.0规范的抽象响应类型定义中明确要求，只要响应是对应SP发送的身份验证请求（AuthnRequest）生成的，就必须在Response根标签上携带InResponseTo属性，取值为对应AuthnRequest的ID属性值。这是基础协议层面的强制要求，你之前只查看了Subject相关章节，所以没找到对应约束。
• SubjectConfirmationData节点内的InResponseTo字段：Core规范中该字段确实标注为通用场景下的可选字段，但这是所有SAML场景的通用定义。在Web浏览器SSO这个具体实现场景的规范约束中，使用Bearer断言确认方式时，SubjectConfirmationData内的InResponseTo必须存在，且取值和Response级的InResponseTo完全一致，用来关联当前身份断言和原始请求。
• 两个位置的InResponseTo作用不同：根标签的属性用来标识整个响应消息对应的请求，断言内的字段用来标识当前身份凭证对应的请求，两者不能互相替代，也不允许放到其他自定义位置。

只有IdP主动发起的未请求响应（Unsolicited Response）场景下，两个位置都不需要携带InResponseTo字段，符合你已掌握的规则。

内容的提问来源于stack exchange，提问作者datacarl