一、引言

在当今数字化的时代，跨域 SAML 单点登录已经成为了许多企业实现用户便捷访问多个应用系统的重要手段。然而，在实际使用过程中，用户常常会遇到感知延迟的问题，这严重影响了用户体验。本文将深入探讨如何通过断言精简和属性按需请求来削减冗余传输带来的等待，从而优化跨域 SAML 单点登录的性能。

二、SAML 单点登录基础

2.1 SAML 简介

SAML（Security Assertion Markup Language）即安全断言标记语言，它是一种基于 XML 的标准，用于在不同的安全域之间交换身份验证和授权信息。通过 SAML，用户可以在一个应用系统中进行一次登录，然后无需再次输入用户名和密码即可访问其他相关的应用系统。

2.2 跨域 SAML 单点登录流程

以一个简单的企业内部跨域应用场景为例，当用户访问应用系统 A 时，如果用户尚未登录，应用系统 A 会将用户重定向到身份提供商（IdP）。用户在 IdP 上进行登录认证，IdP 会生成包含用户身份信息的 SAML 断言，并将其发送回应用系统 A。应用系统 A 验证断言的有效性后，允许用户访问系统。如果用户接下来要访问应用系统 B，应用系统 B 同样会向 IdP 请求用户的 SAML 断言，IdP 直接返回已有的断言，应用系统 B 验证后允许用户访问。

三、感知延迟问题分析

3.1 冗余传输导致的延迟

在传统的跨域 SAML 单点登录中，每次用户访问不同的应用系统时，IdP 都会重新发送包含用户所有属性的 SAML 断言。即使这些属性在之前的请求中已经发送过，并且应用系统 B 可能并不需要所有这些属性。例如，用户的详细个人资料属性对于某些只需要基本身份信息的应用系统来说是多余的，但仍然会被传输，这就导致了网络带宽的浪费和传输时间的增加，从而产生感知延迟。

3.2 断言大小对延迟的影响

SAML 断言的大小与其中包含的属性数量和复杂程度有关。如果断言中包含大量不必要的属性，其大小会显著增加。例如，一个包含用户详细工作经历、教育背景等复杂属性的断言可能比只包含基本身份信息的断言大很多。在网络传输过程中，较大的断言需要更长的时间来传输和解析，这进一步加剧了感知延迟。

四、断言精简优化

4.1 确定必要属性

企业需要对各个应用系统所需的用户属性进行详细梳理。例如，对于一个简单的员工自助服务应用系统，可能只需要用户的姓名、工号和部门信息。而对于一个更复杂的人力资源管理系统，可能还需要员工的薪资、职位等信息。通过明确每个应用系统的必要属性，IdP 可以在生成 SAML 断言时只包含这些必要的属性，从而减小断言的大小。

4.2 去除冗余属性

在梳理属性的过程中，会发现一些属性在多个应用系统中重复传输但实际上并不需要。比如，用户的出生日期属性，在某些应用系统中可能永远不会被使用，但仍然在每次断言中被传输。通过去除这些冗余属性，可以有效减少断言的大小。

4.3 示例演示（以 Python 为例）

# 假设原始的 SAML 断言数据结构
original_assertion = {
    "name": "John Doe",
    "employee_id": "12345",
    "department": "Engineering",
    "date_of_birth": "1980 - 01 - 01",
    "salary": 80000,
    "job_title": "Software Engineer"
}

# 确定某应用系统只需要 name、employee_id 和 department 属性
necessary_attributes = ["name", "employee_id", "department"]

# 精简后的断言
精简后的断言 = {attr: original_assertion[attr] for attr in necessary_attributes}

print(精简后的断言)

这个示例展示了如何从原始的 SAML 断言中提取出必要的属性，从而实现断言的精简。

五、属性按需请求优化

5.1 应用系统发起按需请求

当应用系统需要用户的某些属性时，不再依赖于 IdP 每次都发送完整的断言，而是由应用系统根据自身的需求向 IdP 发起属性请求。例如，应用系统 A 在用户登录时只请求用户的基本身份信息，当用户进行特定操作需要更多属性时，再向 IdP 发起额外的属性请求。

5.2 IdP 的响应策略

IdP 接收到应用系统的属性请求后，根据请求的属性列表生成相应的 SAML 断言片段并返回给应用系统。这样可以避免在不必要的情况下传输大量的属性数据。

5.3 示例演示（以 Java 为例）

// 假设应用系统向 IdP 发送的属性请求
String[] requestedAttributes = {"name", "employee_id"};

// IdP 根据请求生成 SAML 断言片段
String samlAssertionFragment = generateSamlAssertionFragment(requestedAttributes);

// 应用系统接收并处理 SAML 断言片段
processSamlAssertionFragment(samlAssertionFragment);

这个示例展示了应用系统如何按需向 IdP 请求属性，以及 IdP 如何响应并生成相应的 SAML 断言片段。

六、应用场景

6.1 企业内部多应用系统

在一个大型企业中，存在着众多的应用系统，如办公自动化系统、客户关系管理系统、财务系统等。通过优化跨域 SAML 单点登录，可以让员工在切换不同应用系统时感受到更流畅的体验，提高工作效率。

6.2 跨企业合作

在企业之间的合作场景中，例如合作伙伴之间共享某些资源或应用系统时，优化后的单点登录可以减少因跨域身份验证带来的延迟，促进合作的顺利进行。

七、技术优缺点

7.1 优点

  • 减少网络带宽消耗：通过断言精简和属性按需请求，减少了不必要的数据传输，节省了网络带宽资源。
  • 提高用户体验：显著降低了用户在跨域单点登录过程中的感知延迟，使登录过程更加流畅。
  • 增强系统性能：减轻了 IdP 和应用系统在处理和传输大量数据时的负担，提高了整个系统的性能。

7.2 缺点

  • 增加系统复杂度：需要对 IdP 和应用系统进行相应的改造，以支持断言精简和属性按需请求的功能，增加了系统的开发和维护成本。
  • 兼容性问题：在与一些旧版本的应用系统集成时，可能会遇到兼容性问题，需要进行额外的适配工作。

八、注意事项

8.1 安全问题

在进行断言精简和属性按需请求时，必须确保用户的敏感信息不会被泄露。例如，在确定必要属性时，要仔细评估哪些属性是真正安全可公开的。

8.2 系统集成

在对现有系统进行优化时，要充分考虑与其他相关系统的集成问题，避免因优化而导致其他系统出现故障。

8.3 测试验证

在实施优化措施后，要进行充分的测试验证，确保单点登录功能正常且延迟得到有效改善。可以通过模拟不同用户场景和网络环境进行测试。

九、文章总结

通过对跨域 SAML 单点登录中感知延迟问题的分析，我们提出了断言精简和属性按需请求的优化路径。通过确定必要属性、去除冗余属性以及应用系统按需请求属性等方法，可以有效削减冗余传输带来的等待，提高单点登录的性能。在实际应用中，需要根据具体的应用场景权衡技术优缺点，并注意安全、系统集成和测试验证等方面的问题。通过合理的优化，可以为用户带来更流畅的跨域单点登录体验，同时提高企业内部和跨企业合作的效率。