服务提供方收到一份签名有效且尚未过期的SAML断言，但断言中的Audience指向另一个系统，Recipient也不是本系统的断言消费地址。正确处理是（）。
数字签名证明断言来自受信身份提供方且内容未被改写，却不证明这份断言就是签给当前服务的。Audience和Recipient限制断言的适用系统与接收地址，缺少这些检查可能让一份合法断言被跨系统误用。
选项分析
错误。忽略目标约束会产生断言混淆或跨服务重放风险。
错误。扩大断言传播面会增加误用和泄露风险。
正确。完整校验身份、目标、时间和请求上下文。
错误。删除信任证书会使签名无法正确验证。
本题为什么容易错
考试常把‘签名正确’写得很醒目，让人下意识选接受。老师会继续追问：谁签的、签给谁、什么时候有效、是不是回应我刚才的请求。
简短答案
SAML响应签名有效，为什么服务提供方仍不能直接让用户登录，正确答案是 C（拒绝该断言，并校验签名、Issuer、Audience、Recipient、时间条件及请求关联等约束）。数字签名证明断言来自受信身份提供方且内容未被改写，却不证明这份断言就是签给当前服务的。Audience和Recipient限制断言的适用系统与接收地址，缺少这些检查可能让一份合法断言被跨系统误用。
易混淆概念对比表
| 概念 | 本题判断 | 区别要点 | 记忆提示 |
|---|---|---|---|
| 只要签名有效就接受，Audience与Recipient可以忽略 | 本题干扰项 | 错误。忽略目标约束会产生断言混淆或跨服务重放风险。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 把断言转发给所有内部系统尝试登录 | 本题干扰项 | 错误。扩大断言传播面会增加误用和泄露风险。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 拒绝该断言，并校验签名、Issuer、Audience、Recipient、时间条件及请求关联等约束 | 本题正确答案 | 正确。完整校验身份、目标、时间和请求上下文。 | 看到题干核心场景时优先联想到它 |
| 删除身份提供方证书后再接受 | 本题干扰项 | 错误。删除信任证书会使签名无法正确验证。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
本题易混淆选项怎么区分
- 只要签名有效就接受，Audience与Recipient可以忽略：错误。忽略目标约束会产生断言混淆或跨服务重放风险。
- 把断言转发给所有内部系统尝试登录：错误。扩大断言传播面会增加误用和泄露风险。
- 删除身份提供方证书后再接受：错误。删除信任证书会使签名无法正确验证。
知识点详解
服务提供方应使用配置的身份提供方密钥验证签名，核对Issuer与信任配置，并检查AudienceRestriction、Recipient、NotBefore、NotOnOrAfter；对请求式登录还应核对InResponseTo。
备考速记
签名证明票是真的，Audience和Recipient证明这张票是来你这一站的。
SAML 在单点登录场景中的作用
系统A收到只面向系统B的断言时，即使由同一身份提供方签发，也必须拒绝。已接受的断言标识或请求关联信息应在有效期内防重复使用。
同类题怎么考
- 判断签名有效但Audience错误的SAML断言能否接受。
- 选择SAML服务提供方必须执行的校验项。
SAML 在信息安全工程师软考中的考法
签名题不要停在完整性层面；只要题干出现Audience、Recipient或InResponseTo不一致，结论通常是拒绝。
解题思路
这份断言本身可能是真的，但收件人不是你。就像一张真实机票不能拿去登另一趟航班，所以服务提供方必须拒绝，选C。
考点定位
认证消息的可信来源、目标绑定、有效时间和请求关联缺一不可；签名校验只是入口，不是全部。
易错提醒
- 只验证Response签名，却忽略实际使用的Assertion是否受签名保护。
- 允许任意Audience，多个服务之间可互相误用断言。
- 未记录已消费断言标识，短期有效断言被重复提交。
备考提示
- 按来源、目标、时间、请求、重放五列整理SAML校验。
- 对照OAuth授权码流程，注意SAML主要承载身份断言而不是API授权委托。
你可能还想了解
- SAML签名有效为什么仍不能登录？
- Audience和Recipient有什么作用？
- SAML断言如何防止重放？
本文小结
SAML签名有效只证明来源和完整性，服务提供方还必须核对Audience、Recipient、时间、Issuer和请求关联，目标不匹配应拒绝。