LWS 1.0 认证套件：SAML 2.0

安全断言标记语言（SAML）是一种开放标准，用于在各方之间交换认证和 授权断言， 通常是在基于 Web 的服务提供者（即应用程序）与身份提供者之间交换。这些 断言以 XML 格式编码， 其中包含数字签名。本规范描述了如何在 Linked Web Storage 环境中使用基于 SAML 的身份令牌 对最终用户进行认证。

除标记为非规范性的章节外，本规范中的所有编写指南、图表、示例和注释均为非规范性的。除此之外，本规范中的所有内容均为规范性的。

本文档中的关键词 MUST 和 SHOULD 应按照 BCP 14 [RFC2119] [RFC8174] 中的说明进行解释，且仅当它们以如本文所示的全大写形式出现时才如此解释。

术语“授权服务器”和“客户端”由 OAuth 2.0 授权框架 [RFC6749] 定义。

术语“身份提供者”和“断言”由安全断言标记语言（SAML） 2.0 [SAML2-CORE] 定义。

术语“认证 凭据”和“认证 套件”由 Linked Web Storage Protocol [LWS10-CORE] 定义

用作认证凭据的 SAML 令牌 MUST 经过签名。此外，有效的 SAML 令牌 MUST 包含以下断言：

SAML 令牌 MUST 使用 saml:NameID 断言作为 LWS 主体 标识符。

SAML 令牌 MUST 使用 saml:Issuer 断言作为 LWS 发行者 标识符。

SAML 令牌 MUST 使用 saml:SubjectConfirmationData 断言中的 Recipient 参数作为 LWS 客户端标识符。

SAML 令牌中的任何受众限制 MUST 使用 saml:Audience 断言。saml:Audience 断言 SHOULD 包含客户端 标识符以及任何其他目标受众，例如授权服务器。

下面包含一个 SAML 认证凭据示例。

<samlp:Response
    xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
    xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
    xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
    Version="2.0"
    IssueInstant="2025-10-25T01:01:16Z">

  <saml:Issuer>https://idp.example

  <ds:Signature>
    <ds:SignedInfo>
      ...
    <ds:SignedInfo>
  <ds:SignedInfo>

  <samlp:Status>
    <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
  <samlp:Status>

  <saml:Assertion Version="2.0" IssueInstant="2025-10-25T01:01:16Z">
    <saml:Issuer>https://idp.example</saml:Issuer>
    <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">
          https://id.example/end-user
      <saml:NameID>
      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2025-10-25T02:01:16Z"
                                      Recipient="https://app.example/SAML"/>
      <saml:SubjectConfirmation>
    <saml:Subject>
    <saml:Conditions NotBefore="2025-10-25T01:01:16Z"
                     NotOnOrAfter="2025-10-25T02:01:16Z">
      <saml:AudienceRestriction>
        <saml:Audience>https://app.example/SAML
        <saml:Audience>https://as.example
      <saml:AudienceRestriction>
    <saml:Conditions>
  <saml:Assertion>
<samlp:Response>

为了验证 SAML 认证凭据， 必须与签发身份提供者存在信任关系。 本规范未定义验证实体如何与身份提供者建立信任关系， 而是预期这些关系通过带外方式建立。

使用与发行者之间的信任关系，凭据的签名 MUST 按照 SAML Core 第 5 节 [SAML2-CORE] 中的描述进行验证。

用作认证凭据的 SAML 2.0 断言 MUST 在与授权服务器交互时使用 urn:ietf:params:oauth:token-type:saml2 URI。