SAML 响应验证器

检查 SAML 时间戳、受众、目标地址和接收方

SAML 输入

SAML 响应

粘贴 SAMLResponse 值（base64）、表单正文或 Response 的 XML。

期望值

可选。空字段不参与比较，而是显示收到的值。

颁发者

身份提供方的 entity ID

受众

你的服务提供方的 entity ID

目标地址

Response 上的 ACS URL

接收方

SubjectConfirmationData 中的 ACS URL

InResponseTo

你的 AuthnRequest 的 ID

验证时间

留空时使用验证当下的时间。输入固定时间可重现结果。

时钟偏差容差

时间戳的容差。0 秒表示严格，不做任何假设。

验证

还没有 SAML 响应

粘贴 SAML 响应、上传文件或加载示例。期望值为可选项。

检查详情

选择一项检查以查看详情。

SAML 解码器解码 POST、Redirect 或 XML 形式的 SAMLRequest 与 SAMLResponse SAML 元数据解析器检查 IdP、SP 和联盟元数据：端点、证书与问题 X.509 证书检查器解码 PEM 和 DER 证书，检查到期时间、SAN 和证书链顺序 OAuth 2.0 与 OIDC 调试器构建、检查并修复 OAuth 与 OIDC 流程

验证器检查哪些内容

SAML Response Validator 会解码 SAML 2.0 Response，并运行协议、时间和配置检查，解释登录失败的原因。每项检查的结果为 PASS、WARNING、FAIL 或 INFO，并按 Response、每个断言和签名分组。检查范围包括 Version、ID、IssueInstant、Issuer、Destination、InResponseTo、带嵌套代码和消息的状态码、带 Recipient 和自身时间窗口的 bearer 主体确认、Conditions 的 NotBefore 和 NotOnOrAfter、AudienceRestriction、AuthnStatement 的会话过期时间，以及暗示签名包装的重复 ID 或位置异常的断言。

期望值、时间和时钟偏差容差

输入你的服务提供方期望的值：颁发者、受众、目标地址、接收方以及请求的 InResponseTo ID。比较为精确匹配；当值不同时，详情面板会说明可能的原因，例如结尾斜杠、用了 http 而不是 https、大小写、主机不同或多余的空白。Destination 和 Recipient 分开检查。每个时间戳都单独与验证时间比较，验证时间可以是当前时间，也可以是你输入的固定时间。除非你选择 60、120、300 秒或自定义值，否则时钟偏差容差为 0 秒；仅因容差才通过的时间戳会标为 WARNING，消息会给出精确的秒数。

限制

不执行密码学签名验证：工具会报告 Response 和每个断言是否已签名、声明的算法、内嵌证书，以及每个引用是否指向自身元素，但从不声称签名有效。加密断言无法解密，因此不检查其内容。DOCTYPE 和 ENTITY 声明会被拒绝。可接受最大 1 MB 的输入。要查看属性和完整 XML，请使用 SAML Decoder。

隐私

验证完全在你的浏览器中运行。SAML 响应和期望值不会被上传、存储、记录或添加到 URL 中，指向相关工具的链接也不会携带该消息。