深入浅出SAML认证机制：原理与基于python的demo实现

大鲸鱼crush
1,192 阅读7分钟

1. 引言

大家好！今天我们要聊一个听起来很"高大上"的话题 - SAML。别被这个名字吓到，它其实是我们在互联网世界中的一个重要但低调的朋友。

那么，SAML是什么呢？SAML全称是Security Assertion Markup Language，安全断言标记语言。是一种xXML格式的语言，使用XML格式交互，来完成SSO的功能。SAML存在1.1和2.0两个版本，这两个版本不兼容，不过在逻辑概念或者对象结构上大致相当，只是在一些细节上有所差异。

想象一下，SAML就像是互联网世界的一个通用身份证。当你拿着这个"身份证"在不同的网站之间穿梭时，每个网站都能认出你来，而你却不需要重复出示你的证件（输入用户名和密码）。酷不酷？

2. SAML的工作原理

那么，这个神奇的"身份证"是如何工作的呢？让我们一步步来看：

2.1 SAML的主要角色

在SAML的世界里，主要有三个角色在唱戏：

  1. 用户：就是你啦！想要访问各种服务的人。
  2. 服务提供商（SP）：你想要使用的服务，比如你公司的邮箱系统。
  3. 身份提供商（IdP）：负责验证你身份的系统，就像是身份证的发放机构。

2.2 SAML的工作流程

SAML的工作流程，也称为SAML协议流，可以分为以下几个详细步骤：

  1. 用户访问SP: 用户试图访问SP（比如你的公司邮箱系统）上的受保护资源。

  2. SP检查会话: SP检查用户是否已经有一个有效的本地会话。如果有，直接跳到步骤8。如果没有，继续下一步。

  3. SP生成SAML请求: SP生成一个SAML认证请求。这个请求是一个XML文档，包含了SP的标识符，请求ID，发布时间等信息。

  4. SP重定向到IdP: SP将用户的浏览器重定向到IdP，同时将SAML请求作为参数传递。这通常通过HTTP重定向（GET）或HTTP POST完成。

  5. IdP处理SAML请求: IdP接收到SAML请求后，会验证请求的有效性，包括检查签名（如果有的话）、验证SP的身份等。

  6. IdP认证用户: 如果用户在IdP没有活跃会话，IdP会要求用户进行身份认证。这可能涉及输入用户名和密码，或者其他认证方式（如双因素认证）。

  7. IdP生成SAML响应: 认证成功后，IdP会生成一个SAML响应。这个响应包含一个SAML断言，断言中包含了用户的身份信息，认证状态，以及可能的其他属性。

  8. IdP将用户重定向回SP: IdP通过用户的浏览器将SAML响应发送回SP。这通常通过HTTP POST完成，以确保安全传输较大的响应数据。

  9. SP处理SAML响应: SP接收到SAML响应后，会进行一系列的验证：

    • 验证响应的签名
    • 检查响应的有效期
    • 验证响应是否对应之前发送的请求
    • 验证断言中的条件（如受众限制）

  10. SP创建本地会话: 如果SAML响应通过了所有验证，SP会为用户创建一个本地会话，并可能保存从IdP接收到的用户属性。

  11. 用户访问受保护资源: 最后，SP允许用户访问最初请求的受保护资源。

在整个过程中，SAML使用了XML签名来确保消息的完整性和真实性，使用了XML加密来保护敏感信息。此外，SAML还使用了各种安全措施来防止重放攻击，如使用唯一的请求ID和严格的时间戳检查。

看！整个过程中，你只需要登录一次，就可以访问公司的各种系统了。这就是大家常说的单点登录（SSO）。

3. SAML断言的结构

现在我们来仔细看看这个神奇的"身份证" - SAML断言是什么样的。

SAML断言是一个XML文档，主要包含三部分信息：

  1. 认证声明：证明你是谁。
  2. 属性声明：关于你的一些信息，比如你的邮箱地址，部门等。
  3. 授权声明：你有权做什么。

来看一个简单的SAML断言例子：

<saml:Assertion
    xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
    Version="2.0"
    IssueInstant="2023-06-01T13:00:00Z">
    <saml:Issuer>https://idp.example.com</saml:Issuer>
    <saml:Subject>
        <saml:NameID>john.doe@example.com</saml:NameID>
    </saml:Subject>
    <saml:Conditions
        NotBefore="2023-06-01T13:00:00Z"
        NotOnOrAfter="2023-06-01T14:00:00Z"/>
    <saml:AuthnStatement
        AuthnInstant="2023-06-01T13:00:00Z">
        <saml:AuthnContext>
            <saml:AuthnContextClassRef>
                urn:oasis:names:tc:SAML:2.0:ac:classes:Password
            </saml:AuthnContextClassRef>
        </saml:AuthnContext>
    </saml:AuthnStatement>
</saml:Assertion>

看起来很复杂？别担心，我们来解析一下：

  • <saml:Assertion>：这是整个断言的根元素。
  • <saml:Issuer>：说明这个断言是谁颁发的。
  • <saml:Subject>：说明这个断言是关于谁的，这里是John Doe的邮箱。
  • <saml:Conditions>：说明这个断言的有效期。
  • <saml:AuthnStatement>：认证声明，说明John是如何认证的（这里是通过密码）。

4. SAML的优势

说了这么多，SAML到底有什么好处呢？为什么那么多公司都在用它？

  1. 提高用户体验：用户只需要登录一次，就可以访问多个系统，再也不用记那么多密码啦！

  2. 增强安全性：所有的身份验证都在一个中心化的系统中完成，更容易管理和保护。

  3. 简化管理：IT部门只需要管理一个身份系统，而不是为每个应用都管理一套用户。

  4. 标准化：SAML是一个开放标准，兼容性好，可以和很多系统集成。

5. SAML的实现

在这一节中，我们将创建一个完整的demo，模拟SAML的全流程。我们将使用Python的Flask框架来创建一个简单的Web应用，模拟服务提供商（SP）和身份提供商（IdP）。

首先，让我们安装必要的库：

pip install flask python3-saml pysaml2

现在，让我们创建我们的demo应用，这个demo模拟了一个完整的SAML流程：用户点击登录，被重定向到IdP，IdP认证后将用户送回SP，SP验证SAML断言并显示用户信息：

from flask import Flask, request, redirect, session, url_for, render_template_string
from onelogin.saml2.auth import OneLogin_Saml2_Auth
from onelogin.saml2.utils import OneLogin_Saml2_Utils
from saml2 import BINDING_HTTP_POST, BINDING_HTTP_REDIRECT
from saml2.client import Saml2Client
from saml2.config import Config as Saml2Config
import os

app = Flask(__name__)
app.secret_key = 'your_secret_key'  # 请在实际应用中使用更安全的密钥

# SAML设置
SAML_PATH = os.path.join(os.path.dirname(os.path.abspath(__file__)), 'saml')

def init_saml_auth(req):
    auth = OneLogin_Saml2_Auth(req, custom_base_path=SAML_PATH)
    return auth

def prepare_flask_request(request):
    url_data = request.url.split('://')
    return {
        'https': 'on' if request.scheme == 'https' else 'off',
        'http_host': request.host,
        'server_port': url_data[1].split(':')[1] if len(url_data) > 1 else '',
        'script_name': request.path,
        'get_data': request.args.copy(),
        'post_data': request.form.copy()
    }

@app.route('/')
def index():
    return render_template_string("""
        <h1>Welcome to SAML Demo</h1>
        <a href="{{ url_for('login') }}">Login</a>
    """)

@app.route('/login')
def login():
    req = prepare_flask_request(request)
    auth = init_saml_auth(req)
    return redirect(auth.login())

@app.route('/acs', methods=['POST'])
def acs():
    req = prepare_flask_request(request)
    auth = init_saml_auth(req)
    auth.process_response()
    errors = auth.get_errors()
    if not errors:
        if auth.is_authenticated():
            session['samlUserdata'] = auth.get_attributes()
            session['samlNameId'] = auth.get_nameid()
            return redirect(url_for('dashboard'))
        else:
            return "Authentication failed."
    else:
        return f"Error occurred: {', '.join(errors)}"

@app.route('/dashboard')
def dashboard():
    if 'samlUserdata' not in session:
        return redirect(url_for('login'))
    return render_template_string("""
        <h1>Welcome, {{ session['samlNameId'] }}</h1>
        <h2>Your attributes:</h2>
        <ul>
        {% for attr, values in session['samlUserdata'].items() %}
            <li>{{ attr }}:
                <ul>
                {% for value in values %}
                    <li>{{ value }}</li>
                {% endfor %}
                </ul>
            </li>
        {% endfor %}
        </ul>
        <a href="{{ url_for('logout') }}">Logout</a>
    """)

@app.route('/logout')
def logout():
    req = prepare_flask_request(request)
    auth = init_saml_auth(req)
    return redirect(auth.logout())

@app.route('/metadata')
def metadata():
    req = prepare_flask_request(request)
    auth = init_saml_auth(req)
    settings = auth.get_settings()
    metadata = settings.get_sp_metadata()
    errors = settings.validate_metadata(metadata)

    if len(errors) == 0:
        return metadata, 200, {'Content-Type': 'text/xml'}
    else:
        return ', '.join(errors), 500

if __name__ == '__main__':
    app.run(debug=True)

这个demo应用包含了以下主要部分：

  1. /: 主页，提供登录链接。
  2. /login: 启动SAML登录流程。
  3. /acs: 处理IdP的SAML响应。
  4. /dashboard: 展示登录成功后的用户信息。
  5. /logout: 处理登出请求。
  6. /metadata: 提供SP的SAML元数据。

运行这个demo需要在SAML_PATH目录下创建SAML配置文件（settings.json和advanced_settings.json）。用于存储SP和IdP的详细配置。

总结

通过本文，我们了解了SAML的基本概念、工作原理，以及如何在实际项目中使用SAML。SAML作为一种强大的单点登录解决方案，不仅提高了用户体验，还增强了系统安全性。

当然，SAML也不是万能的。它的实现相对复杂，对于小型应用可能有点"杀鸡用牛刀"。但是对于大型企业或者需要集成多个系统的场景，SAML绝对是一个值得考虑的选择。

那么，你的下一个项目准备用SAML吗？欢迎在评论区分享你的想法！

avatar
文章
阅读
粉丝