【身份与访问控制工程】SAML 还值得学吗：企业遗留 SSO 的现实世界
💡
原文中文，约28300字，阅读约需68分钟。
📝
内容提要
这篇文章讨论了SAML 2.0协议在企业IT环境中的重要性。尽管SAML自2005年发布以来已显得陈旧，但由于企业惯性和合规要求，它仍被广泛应用。文章介绍了SAML的基本概念、参与方、断言类型及其与OIDC的对比，强调在B2B SaaS，特别是金融和医疗行业中掌握SAML的必要性。最后，作者建议在集成时使用成熟的库和工具，以降低安全风险和技术债务。
🎯
关键要点
- SAML 2.0协议自2005年发布以来仍被广泛应用，主要由于企业的惯性和合规要求。
- SAML 2.0是第一个被广泛部署的联邦身份协议，适用于企业内网和B2B Web SSO场景。
- SAML与OIDC在数据格式、签名、主场景等方面存在显著差异，SAML仍是许多企业的默认选择。
- 在金融、医疗等行业，掌握SAML是进入市场的必要条件，尤其是在接入大型企业客户时。
- SAML的核心概念包括身份提供方（IdP）、服务提供方（SP）和主体（Principal），以及三种断言类型。
- SAML的断言结构和绑定方式复杂，工程师需要了解如何构造和解析SAML消息。
- 在集成SAML时，建议使用成熟的库和工具，以降低安全风险和技术债务。
❓
延伸问答
SAML 2.0协议的主要应用场景是什么？
SAML 2.0协议主要应用于企业内网和B2B Web SSO场景，尤其在金融、医疗等行业中非常重要。
为什么SAML 2.0协议在2026年仍然值得学习？
SAML 2.0仍被广泛使用主要是由于企业的惯性、合规要求以及与许多现有系统的深度集成。
SAML与OIDC的主要区别是什么？
SAML使用XML格式和基于SOAP的后端通道，而OIDC使用JSON和JWT，主要用于公网和移动端场景。
在集成SAML时有哪些安全风险需要注意？
集成SAML时需注意XML签名包装攻击、重放攻击和RelayState的开放重定向风险。
SAML的核心参与方有哪些？
SAML的核心参与方包括身份提供方（IdP）、服务提供方（SP）和主体（Principal）。
在使用SAML时，如何降低技术债务和安全风险？
建议在集成SAML时使用成熟的库和工具，以降低安全风险和技术债务。
➡️
