如何从SAML响应中识别用户？

Question

我已经实现了Single Sign On来访问我的Sp应用程序。它使用shibboleth服务器作为Identity Provider。在idp系统中登录后，我收到了来自idp的Saml响应，其中包含Saml Assertion，但我现在不知道如何在我的应用 saml断言包含以下数据：

*

下面的属性是由身份提供商提供的骨灰盒：绿洲：名称：TC：SAML：2.0：填充NameID格式：瞬时AAdzZWNyZXQxlKzPy2zEKyk / rEaN2jVTXi6mEvaFbOzXwkMNEZMB + TkQcmWW4LZT70hx3cAVEyrBSdXkT2glVkPGuncVMe5PfFipJjVAGE7jdRGsFef6CqzDArE9Olw / 1EhkIA / S3hu9IpiU瓮：OID：1.3.6.1.4.1.5923.1.1.1.9 affiliate@test.ukfederation.org.uk，会员，i8mqNNzYfweNDzGr / PafYaMzWko =，alice @ test.ukfederation.org.uk urn：oid：1.3.6.1.4.1.5923.1.1.1.1affiliate@test.ukfederation.org.uk ，会员，i8mqNNzYfweNDzGr / PafYaMzWko =，alice @ test.ukfederation.org.uk urn：oid：1.3.6.1.4.1.5923.1.1.1.10affiliate@test.ukfederation.org.uk，会员，i8mqNNzYfweNDzGr / PafYaMzWko = @ test.ukfederation.org.uk urn：oid：1.3.6.1.4.1.5923.1.1.1.6affiliate@test.ukfederation.org.uk，会员，i8mqNNzYfweNDzGr / PafYaMzWko =，alice @ test.ukfederation.org.uk

*

我试图使用name-id与idp中的用户标识系统中的用户，但是此值在每次登录后都会更改。

例如：Google Suite使用urn：oasis：names：tc：SAML：1.1：nameid-format：emailAddress作为名称标识符，可以使用电子邮件地址查找用户，但是在这种情况下，我被卡住了。 请问哪个是最好的方法？ 我应该使用属性吗？

Answer 1

这使用对象标识符（OID）格式。

例如1.3.6.1.4.1.5923.1.1.1.6是eduPersonPrincipalName

请参考此 。