使用SAML的Web服务仍然是无状态的吗？

Question

据我所知，Web服务是无状态的。但是，如果我在将请求传递给服务提供者之前使用SAML来授权服务使用者，那么Web服务仍然是无状态的吗？

Answer 1

这取决于您使用SAML执行身份验证/授权步骤的方式。有状态服务是对服务的后续请求取决于第一个请求的结果的服务。典型服务读取SAML断言，提取主题和声明，然后在同一执行上下文中使用它们进行身份验证或授权。这仍然是无国籍的。但如果该步骤的结果是跟踪客户端的结果（即cookie或其他类型的状态/亲和机制），则您的服务是有状态的。

认证协议（SAML）或令牌（也是SAML）的表示不是很多，而是您的服务对它的作用。