具有 SAML 断言的用户个人资料头像

Question

来自 IDP 的 SAML 断言包含用户配置文件信息，如姓名和电子邮件，SP 可以使用这些信息来设置用户配置文件并使配置文件属性保持最新。是否还有可能在 SAML 断言的上下文中提供用户头像/个人资料图像？作为二进制/base64 流或至少 URL？即使没有在标准中定义，是否有任何 IDP 或 SP 支持它？

Answer 1

标准对于要传递的属性是完全开放的。您可以在其中使用任何数据和名称的任何属性。所以传递一个 URL 或 BASE64 数据是完全符合标准的。每个部署 (SP+Idp) 决定有哪些属性以及它们应该具有的格式。

也就是说，在最常见的情况下，整个 SAML 消息都会通过从隐藏的表单字段中发布数据而在客户端浏览器上被弹回。对于大量二进制数据，这不是一种合适的方法。将 URL 作为属性传递给图像是解决该问题的完美方法。您还可以查看工件绑定，其中发布的数据仅包含一个令牌，SP 通过 SOAP 连接从 Idp 直接下载实际的 SAML 数据。