【身份与访问控制工程】SAML 还值得学吗：企业遗留 SSO 的现实世界
内容提要
这篇文章讨论了SAML 2.0协议在企业IT环境中的重要性。尽管SAML自2005年发布以来已显得陈旧，但由于企业惯性和合规要求，它仍被广泛应用。文章介绍了SAML的基本概念、参与方、断言类型及其与OIDC的对比，强调在B2B SaaS，特别是金融和医疗行业中掌握SAML的必要性。最后，作者建议在集成时使用成熟的库和工具，以降低安全风险和技术债务。
关键要点
-
SAML 2.0协议自2005年发布以来仍被广泛应用，主要由于企业的惯性和合规要求。
-
SAML 2.0是第一个被广泛部署的联邦身份协议，适用于企业内网和B2B Web SSO场景。
-
SAML与OIDC在数据格式、签名、主场景等方面存在显著差异，SAML仍是许多企业的默认选择。
-
在金融、医疗等行业，掌握SAML是进入市场的必要条件，尤其是在接入大型企业客户时。
-
SAML的核心概念包括身份提供方（IdP）、服务提供方（SP）和主体（Principal），以及三种断言类型。
-
SAML的断言结构和绑定方式复杂，工程师需要了解如何构造和解析SAML消息。
-
在集成SAML时，建议使用成熟的库和工具，以降低安全风险和技术债务。
延伸解读
SAML的持久性与企业惯性
尽管SAML 2.0协议自2005年发布以来技术上显得过时，但其在企业中的广泛应用主要源于组织惯性和合规要求。许多企业在过去十多年中已经建立了基于SAML的身份管理系统，替换这些系统的成本和风险远大于继续使用SAML的收益。
SAML与OIDC的选择
在选择身份验证协议时，SAML和OIDC各有优劣。SAML适合企业内网和B2B场景，尤其是在金融和医疗行业中，而OIDC则更适合移动端和API授权。企业在接入新客户时，往往需要根据客户的需求选择合适的协议。
集成SAML的安全风险
集成SAML时，工程师需特别注意安全风险，如XML签名包装攻击（XSW）和重放攻击。确保使用成熟的库和工具，并遵循最佳实践，可以有效降低这些风险。此外，定期监控和更新安全策略也是必要的。
延伸问答
SAML 2.0协议的主要应用场景是什么？
SAML 2.0协议主要应用于企业内网和B2B Web SSO场景，尤其在金融、医疗等行业中非常重要。
为什么SAML 2.0协议在2026年仍然值得学习？
SAML 2.0仍被广泛使用主要是由于企业的惯性、合规要求以及与许多现有系统的深度集成。
SAML与OIDC的主要区别是什么？
SAML使用XML格式和基于SOAP的后端通道，而OIDC使用JSON和JWT，主要用于公网和移动端场景。
在集成SAML时有哪些安全风险需要注意？
集成SAML时需注意XML签名包装攻击、重放攻击和RelayState的开放重定向风险。
SAML的核心参与方有哪些？
SAML的核心参与方包括身份提供方（IdP）、服务提供方（SP）和主体（Principal）。
在使用SAML时，如何降低技术债务和安全风险？
建议在集成SAML时使用成熟的库和工具，以降低安全风险和技术债务。
