SAML PHP Toolkit 技术文档

1. 安装指南

依赖项

• php >= 5.3.3，并确保安装了以下核心扩展：php-xml、php-date、php-zlib。
• openssl：用于处理x509证书。
• mcrypt：如果需要处理加密数据（如nameID、assertions），需安装该库及其PHP驱动。
• curl：如果计划使用IdP元数据解析器，需安装该库及其PHP驱动。

安装方式

选项1：从GitHub克隆仓库

git clone [e-mail]:onelogin/php-saml.git

选项2：从GitHub下载

可以从以下链接下载最新版本或主仓库：

• 最新版本：https://github.com/onelogin/php-saml/releases/latest
• 主仓库：https://github.com/onelogin/php-saml/tree/master

将库的核心文件复制到PHP应用程序中。每个应用程序的结构不同，因此请根据实际情况选择合适的位置。

选项3：使用Composer

该工具包支持Composer。可以通过以下命令将其导入到当前PHP项目中：

composer require onelogin/php-saml

安装完成后，你将在vendor/文件夹中找到onelogin/php-saml。确保包含Composer提供的自动加载器，该文件位于vendor/autoload.php。

重要提示：在此选项中，x509证书必须存储在vendor/onelogin/php-saml/certs中，设置文件存储在vendor/onelogin/php-saml中。使用composer update或其他类似命令更新包时，设置文件可能会被删除，因此建议直接将设置作为数组传递给构造函数。

2. 项目使用说明

概述

SAML PHP Toolkit允许你在PHP应用程序中构建一个SP（服务提供者），并将其连接到任何IdP（身份提供者）。它支持SSO和SLO（SP发起和IdP发起）、断言和nameId加密、断言签名、消息签名（AuthNRequest、LogoutRequest、LogoutResponses）、启用断言消费者服务端点、启用单点注销服务端点以及发布SP元数据（可以签名）。

主要特性

• saml2int：实现SAML 2.0 Web浏览器SSO配置文件。
• 无会话：避免SP与最终应用程序之间的常见冲突，工具包将会话委托给最终应用程序。
• 易于使用：提供高级别和低级别编程接口，易于使用。
• 经过测试：经过彻底测试。
• 流行：被许多客户使用，许多PHP SAML插件使用它。

3. 项目API使用文档

设置参数

在生产环境中，strict参数必须设置为"true"，并且security下的signatureAlgorithm和digestAlgorithm必须设置为SHA1以外的值，以确保环境安全。

避免开放重定向攻击

如果使用RelayState参数控制SSO和SLO成功后的流程，需验证RelayState的值是否属于受信任和预期的URL。

避免回复攻击

回复攻击是指尝试重复使用有效的SAML响应。为防止此类攻击，需确保SAML响应的唯一性和时效性。

4. 项目安装方式

通过Composer安装

composer require onelogin/php-saml

手动安装

• 从GitHub克隆仓库或下载压缩包。
• 将库的核心文件复制到PHP应用程序中。

配置

• 确保包含Composer提供的自动加载器。
• 配置x509证书和设置文件的位置。

通过以上步骤，你可以成功安装并配置SAML PHP Toolkit，开始在你的PHP应用程序中集成SAML支持。