italia/spid-saml-check

SPID SAML Check

镜像概述与主要用途

SPID SAML Check 是一套为服务提供商（Service Provider, SP）设计的工具套件，主要用于检查发送至身份提供商（Identity Provider, IdP）的 SAML 请求、验证元数据合规性及发送自定义响应。该套件由意大利数字局（AgID - Agenzia per l'Italia Digitale）开发并维护，包含以下组件：

• 基于 Tox 的规范合规性测试工具（specs-compliance-tests）
• Web 应用 spid-validator：提供易用界面的验证工具
• Web 应用 spid-demo：作为演示环境的测试 IdP
• 已弃用的 Google Chrome 扩展（用于拦截请求）

核心功能与特性

主要功能

1. spid-validator

   • 基础模式：对 SP 的 SAML 元数据进行形式化验证
   • 完整模式：需将其配置为 SP 的 IdP，提供 300+ 项合规性检查，分为 7 个类别：
     • 4 类用于 SP 元数据 的形式化验证
     • 3 类用于 SP SAML 请求 的形式化验证
     • 1 类（含 111 项检查）用于交互式验证 SP 对 IdP SAML 响应 的行为

2. spid-demo

   • 作为演示环境的测试 IdP，提供测试用户列表，支持 SP 集成测试

使用场景与适用范围

适用于服务提供商（SP）在开发、测试阶段：

• 验证 SAML 元数据的格式与合规性
• 检查 SAML 请求的规范性
• 测试 SP 对 IdP 响应的处理行为
• 作为演示 IdP 构建测试环境，模拟真实认证流程

Docker 部署指南

构建镜像

bash
git clone https://github.com/italia/spid-saml-check.git
cd spid-saml-check
docker build -t spid-saml-check .

运行容器

bash
docker run -t -i -p 8080:8080 spid-saml-check

• 端口说明：容器内 8080 端口映射至主机 8080 端口，用于访问 Web 应用

详细使用方法

作为 SPID Validator 使用

基础验证模式

直接访问 Web 应用，可对 SP 的 SAML 元数据进行基础形式化验证。

完整验证模式（推荐）

需将 spid-validator 配置为 SP 的 IdP，以启用全部合规性测试：

1. 获取 SPID Validator 元数据
   访问 https://localhost:8080/metadata.xml，下载并保存元数据文件。

2. 配置 SP
   在 SP 实现中将下载的元数据配置为新的 IdP。

3. 发起认证请求
   从 SP 调用 spid-validator 作为 IdP，触发 300+ 项检查，分类如下：

   • 元数据验证（4 类）：检查 SP 元数据格式与规范
   • 请求验证（3 类）：检查 SAML 请求的规范性
   • 响应验证（1 类，111 项）：交互式验证 SP 对 IdP 响应的处理

4. 登录验证
   访问 https://localhost:8080，使用凭据 validator/validator 登录，查看检查结果。

作为 SPID Demo 使用

spid-demo 作为测试 IdP，提供演示环境，步骤如下：

1. 获取 SPID Demo 元数据
   访问 https://localhost:8080/demo/metadata.xml，下载并保存元数据文件：

   bash
   wget https://localhost:8080/demo/metadata.xml -O /path/to/your/sp/metadata/folder/spid-demo.xml
   

2. 注册 SP 元数据

   • 访问 https://localhost:8080，使用凭据 validator/validator 登录
   • 点击「Metadata -> Download」，提交 SP 元数据 URL（若 SP 位于本地，需使用主机 Docker IP 而非 localhost）

3. 发起认证请求
   从 SP 向 spid-demo 发送 SAML 认证请求，进入演示环境，使用测试用户（列表见 https://localhost:8080/demo/users）完成登录流程。

注意事项

• 端口映射：容器默认使用 8080 端口，需确保主机端口未被占用，或通过 -p <host-port>:8080 调整映射。
• 本地测试：若 SP 部署在本地，配置元数据 URL 时需使用主机 Docker IP（而非 localhost），避免网络访问问题。
• 凭据说明：所有 Web 应用默认登录凭据为 validator/validator。