概念定义
安全断言标记语言（SAML）是联邦身份的标溆：身份提供者（IdP）认证用户后，向服务提供者（SP）发送签名的 XML 断言，声明用户身份与属性。SP 信任 IdP，并在从未见到口令的情况下授予访问。SAML 2.0 至今仍是企业单点登录的主流协议，组织将 Entra ID、Okta 等 IdP 接入众多 SaaS 应用。
为什么重要
企业需要在数十个 SaaS 应用间统一身份与凭据，并在人员离职时集中撤销访问。SAML 联邦单点登录提供了这一点：IdP 成为认证、多因素与组归属管理的唯一场所，各 SP 信任断言而不必存储口令。它是当今大多数大型企业单点登录的基础。
工程实践
严格校验断言：拒绝未签名断言，用 IdP 证书核对签名，确认受众与接收方，并强制执行 NotBefore 与 NotOnOrAfter。优先使用带 CSRF 防护的 SP 发起流程，避免非请求断言。通过显式允许清单把属性映射为权限，而不信任任意取值；支持 IdP 证书轮换；自动化用户生命周期，使 IdP 侧的撤销能传播到访问控制。