当证书包含在签名的SAML响应中时，为什么需要与SPO共享证书？

Question

我只是想知道在使用Salesforce实现SAML SSO时我意识到我已将证书上传到SP端（即Salesforce），但是我可以看到当我们发送已签名的SAML响应时它已包含证书。

为什么证书会提前与SP共享？

Answer 1

一切都是为了在系统之间建立信任。如果您没有提前向SFDC提供证书，他们如何相信您发送的邮件实际上来自您的IDP？如果没有您的证书，他们可以验证邮件是否完整但不是实际生成邮件的人。当您在SAML响应中包含公钥时，他们可以检查它与您共享的公钥是否相同，它与您用于生成签名的公钥相同。