在Python中验证SAML2断言（作为密码替换）

Question

我需要在Python中验证SAML2断言（作为密码替换）。（大图：Shibboleth Idp SOGo SP将断言响应传递到我的模块（基于pam-script））

我正在尝试使事情保持[[安全，但要尽可能简单/可管理。 SIGNXML Python库似乎是一个很好的库起点，但是AFAIK那里有一些拼图碎片...

P.S。我对以下任何主题都不陌生，但也不是日常的主力程序员。因此，对于从一开始就采取正确方向的任何其他（“一般”）建议，我将不胜感激。

所以我的问题是：

1. 推荐的方式/库（简单地（处理/解密来自IdP的加密断言回复？
2. 如何延长断言有效性时间范围（按定义的宽限/偏斜时间段）和/或禁用时间有效性完全检查（用于非生产环境）？
3. 解析SAML2断言以获取诸如'uid'，SP的EntityId等属性的首选方法。（lxml.etree对我来说似乎是正确的方式，但是...）
4. 是否需要进一步考虑以确保在验证过程中的完整性/安全性？

非常感谢您的任何帮助/建议/示例！

最好的问候，Lubos

Answer 1

代替您自己实现兼容SAMLv2标准的SAML ServiceProvider，您可以看看https://github.com/onelogin/python-saml