为什么数字签名是SAML断言文件的一部分？

Question

我需要通过Postman手动执行来自OAuth 2的SAML Bearer Assertion Flow，以证明它适用于我们的后端。因此，我使用[1]作为参考创建了我自己的SAML断言文件（向下滚动一下以查看示例SAML断言）。

我想知道为什么数字签名（XML元素ds:SignatureValue的值）是包含SAML断言的文件的一部分。当然，我不能在签名的内容中包含签名。所以我想知道该断言的哪一部分正在签署。

[1] https://help.salesforce.com/articleView?id=remoteaccess_oauth_SAML_bearer_flow.htm&language=en&type=0

Answer 1

断言中需要

ds:SignatureValue来验证断言部分是否未被修改并且仅由身份提供商（IdP）发送给服务提供商（SP），并且在传输过程中没有其他任何人修改

通常，断言部分（不包括ds:Signature元素）已签名，设置为ds:SignatureValue元素，相关签名详细信息将附加到ds:Signature元素，并通过IdP发送给SP。