如何从 SAML 响应中识别用户？

Question

我已经实现了单点登录来访问我的 Sp 应用程序。它使用 shibboleth 服务器作为身份提供者。在我登录 idp 系统后，我收到来自 Idp 的 Saml 响应，其中包含 Saml 断言，但我现在不知道如何识别此用户我的应用程序。saml 断言包含以下数据：

*

下面的属性是由身份提供商提供的骨灰盒：绿洲：名称：TC：SAML：2.0：填充NameID格式：瞬时AAdzZWNyZXQxlKzPy2zEKyk / rEaN2jVTXi6mEvaFbOzXwkMNEZMB + TkQcmWW4LZT70hx3cAVEyrBSdXkT2glVkPGuncVMe5PfFipJjVAGE7jdRGsFef6CqzDArE9Olw / 1EhkIA / S3hu9IpiU瓮：OID：1.3.6.1.4.1.5923.1.1.1.9附属@test.ukfederation.org.uk，附属，i8mqNNzYfweNDzGr/PafYaMzWko=，[e-mail] urn:oid:[e-mail] , 附属, i8mqNNzYfweNDzGr/PafYaMzWko=, [e-mail] urn:oid:[e-mail], 附属, i8mqNNZZYMzWko=, [e-mail] urn:oid @test.ukfederation.org.uk urn:oid:[e-mail],affiliate, i8mqNNzYfweNDzGr/PafYaMzWko=, [e-mail]

*

我试图使用 name-id 来识别系统中的用户和 idp 中的用户，但是每次登录后这个值都会改变。

例如：Google 套件使用 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress 作为名称标识符，并且可以使用电子邮件地址找到用户，但在这种情况下我被卡住了。请问哪种方法最好？我应该使用属性吗？

Answer 1

这使用对象标识符 (OID) 格式。例如 1.3.6.1.4.1.5923.1.1.1.6 是 eduPersonPrincipalName参考这个。