无法为 SAML 响应创建正确的签名

Question

我在我们的项目中使用go-saml库来启用 SSO，其中服务提供商将是 Salesforce，身份提供商将是 Golang 代码。Golang 代码将首先验证用户，然后创建一个 SAML 响应以允许用户登录 Salesforce。我是 Golang 的新手，并遵循创建此库的 SAML 响应（如果充当 IdP）。因此，到目前为止，我能够使用它创建一个 SAML 响应，但在根据要求对其进行自定义时面临一些挑战。

我面临的第一个挑战是在条件块中添加AudienceRestriction ，如下所示：-

<saml:Conditions NotBefore="2020-03-15T16:33:16.23103491Z" NotOnOrAfter="2020-03-15T16:43:16.23104017Z">

         <saml:AudienceRestriction>

                <saml:Audience>https://saml.salesforce.com</saml:Audience>

         </saml:AudienceRestriction>

 </saml:Conditions>

我试图在代码中添加它，但似乎AudienceRestrictions未在条件对象中定义。

authnResponse := saml.NewSignedResponse()

 authnResponse.Conditions.AudienceRestrictions = "https://saml.salesforce.com"

我没有找到任何方法在 Salesforce 必须的条件块中添加上述块。请建议我这样做的一些方法。

我还必须在条件块下方添加AuthnStatement，如下所示：-

<saml:AuthnStatement AuthnInstant="2020-03-01T11:28:31.396Z">

   <saml:AuthnContext>    <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</saml:AuthnContextClassRef> 

   </saml:AuthnContext> 

</saml:AuthnStatement>

即使在 SAML 响应中手动添加上述块后，我在使用 Salesforce SAML 验证器验证 SAML 响应时也会收到以下错误

验证签名...响应是否已签名？true

断言是否已签名？false

响应签名中的引用有效

keyinfo 中是否提供了正确的证书？真的

签名或证书问题

响应中的签名无效

我已经生成了一个公钥（自签名 .pem 证书）和一个私钥。之后，我已将公钥上传到 Salesforce，并在代码内部使用私钥和公钥来生成 SAML 响应。我不知道为什么会收到签名无效错误。如果您对我有任何建议，请告诉我。

如果您想查看我的 Golang 代码 - https://play.golang.org/p/U9dXZblTHG1

Answer 1

可以通过提供的功能添加受众：authnResponse := saml.NewSignedResponse()authnResponse.AddAudienceRestriction("https://saml.salesforce.com")身份验证上下文可以通过另一个函数添加：authnContext := "urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified"sessionIndex := "session_1"authnResponse.AddAuthnStatement(authnContext,sessionIndex)作为建议，请尝试使用更成熟、成熟的库（例如 OpenSAML 或 simpleSAMLphp）来生成 SAML 响应。如果这有效但 go-saml 无效，那么您可以继续下一步。另一方面，如果您通过另一种方法生成的断言也失败了，那么这可能是您使用密钥或断言内容而不是库所做的任何问题。