无法为 SAML 响应创建正确的签名

Question

我在我们的项目中使用go-saml库来启用 SSO，其中服务提供商将是 Salesforce，身份提供商将是 Golang 代码。Golang 代码将首先验证用户，然后创建 SAML 响应以允许用户登录 Salesforce。我是 Golang 新手，正在关注该库的创建 SAML 响应（如果充当 IdP） 。到目前为止，我能够使用它创建 SAML 响应，但在根据要求自定义它时面临一些挑战。

1. 我面临的第一个挑战是在条件块中添加AudienceRestriction，如下所示：-

<saml:Conditions NotBefore="2020-03-15T16:33:16.23103491Z" NotOnOrAfter="2020-03-15T16:43:16.23104017Z">         <saml:AudienceRestriction>                <saml:Audience>https://saml.salesforce.com</saml:Audience>         </saml:AudienceRestriction> </saml:Conditions>

我尝试在代码中添加如下所示的内容，但似乎AudienceRestrictions未在Conditions对象中定义。

authnResponse := saml.NewSignedResponse() authnResponse.Conditions.AudienceRestrictions = "https://saml.salesforce.com"

我没有找到任何方法可以在 Salesforce 强制执行的条件块中添加上述块。请建议我一些方法来做到这一点。

1. 我还必须在条件块下方添加AuthnStatement ，如下所示：-

<saml:AuthnStatement AuthnInstant="2020-03-01T11:28:31.396Z">   <saml:AuthnContext>    <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</saml:AuthnContextClassRef>   </saml:AuthnContext> </saml:AuthnStatement>

1. 即使在 SAML 响应中手动添加上述块后，我在使用 Salesforce SAML 验证器验证 SAML 响应时仍收到以下错误

验证签名...响应是否已签名？true
断言是否已签名？false
响应签名中的引用有效 密钥信息
中提供的证书是否正确？真的

签名或证书问题
响应中的签名无效

我已经生成了一个公钥（自签名 .pem 证书）和一个私钥。之后，我将公钥上传到 Salesforce，并使用私钥和公钥在代码中生成 SAML 响应。我不知道为什么会收到“签名无效”错误。如果您对我有任何建议，请告诉我。

如果您想检查我的 Golang 代码 - https://play.golang.org/p/U9dXZblTHG1

Answer 1

可以通过提供的功能添加受众：authnResponse := saml.NewSignedResponse() authnResponse.AddAudienceRestriction("https://saml.salesforce.com")可以通过另一个函数添加身份验证上下文：authnContext := "urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified" sessionIndex := "session_1" authnResponse.AddAuthnStatement(authnContext,sessionIndex)建议尝试使用更成熟、成熟的库（例如 OpenSAML 或 simpleSAMLphp）来生成 SAML 响应。如果这有效，但 go-saml 不起作用，那么您就可以继续下一步了。另一方面，如果您通过另一种方法生成的断言也失败，那么很可能是您使用键或断言内容而不是库执行的操作出现问题。