SAML
安全断言标记语言，企业SSO的主流底层协议之一，诞生于2002年，以XML为载体，被Okta、ADFS、Ping等传统企业身份提供商广泛采用
核心事实
时间轴 (近 90 天)
传统身份提供商（IdP）面向人类用户设计，依赖账号密码、多因素认证等机制，常见标准包括SAML、OAuth 2.0和OpenID Connect。
Alter能否通过SAML、OIDC或SCIM等标准协议与主流IdP集成，并复用企业已有的组与角色定义，将直接决定其能否进入中大型企业的采购清单。
在 SSO 流程中，IdP 向应用发送的认证断言通常以 SAML 断言或 OIDC 的 ID Token 形式承载。
SCIM 通常与 SAML/OIDC 搭配使用：后者负责认证，前者负责供给（provisioning）。
SAML是基于XML的身份联邦协议，通过IdP向SP签发断言传递认证与授权信息，常用于企业级单点登录。
SAML和OIDC的共同前提是存在一个人类用户，其在IdP完成认证后浏览器携带令牌或断言跳转至目标域。
在 SAML 和 JWT 中，签名保护的是'选择出来的字节'，而选择逻辑的语义正确性往往未被验证。
安全研究者分析认为，C2PA 范围未验证缺陷并非某个库的实现疏忽，而是协议设计中对签名覆盖范围元数据低估的后果。
身份自动化供给的常见标准包括 OAuth、SAML 以及 SCIM（跨域身份管理系统协议）。
EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
还有 40 条时间轴事件
全部知识事实 (20)
SAML（安全断言标记语言）长期以来是企业单点登录（SSO）领域的事实标准
65%已验证WorkOS是一家专注于为SaaS应用提供企业级身份认证和用户管理基础设施的技术公司，其产品涵盖SSO（单点登录）、SCIM目录同录、审计日志等企业IT核心能力
65%待验证SSO的实现通常依赖SAML或OIDC等标准协议，与企业现有的身份提供商如Okta、Azure AD、Google Workspace对接
70%待验证SAML是基于XML的身份联邦协议，通过IdP向SP签发断言传递认证与授权信息，常用于企业级单点登录。
60%待验证传统身份提供商（IdP）面向人类用户设计，依赖账号密码、多因素认证等机制，常见标准包括SAML、OAuth 2.0和OpenID Connect。
50%待验证在 SSO 流程中，IdP 向应用发送的认证断言通常以 SAML 断言或 OIDC 的 ID Token 形式承载。
50%待验证SCIM 通常与 SAML/OIDC 搭配使用：后者负责认证，前者负责供给（provisioning）。
50%待验证SAML和OIDC的共同前提是存在一个人类用户，其在IdP完成认证后浏览器携带令牌或断言跳转至目标域。
50%待验证在 SAML 和 JWT 中，签名保护的是'选择出来的字节'，而选择逻辑的语义正确性往往未被验证。
50%待验证安全研究者分析认为，C2PA 范围未验证缺陷并非某个库的实现疏忽，而是协议设计中对签名覆盖范围元数据低估的后果。
50%待验证身份自动化供给的常见标准包括 OAuth、SAML 以及 SCIM（跨域身份管理系统协议）。
50%待验证EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
50%待验证根治双解析器不一致的思路是使签名验证和身份提取基于同一份经过规范化处理的 XML 树，任何对原始字节的二次解析都是潜在风险
50%待验证处理签名 XML 的硬性规则包括：禁止多个解析器处理同一份安全敏感 XML、验签前做 C14N 并基于规范化结果提取身份、严格校验命名空间、XPath 使用绝对路径
50%待验证这类 SAML 缺陷通常被归入 CWE-436（解释冲突）与 CWE-347（签名验证不当）的交集
50%待验证攻击者可以构造一份 XML，使签名验证器读取用户 A 的数据而身份提取器读取用户 B（通常是管理员）的身份，从而在签名合法的情况下绕过系统
50%待验证SAML 规范要求使用排他性规范化（Exclusive C14N），它只包含实际被使用的命名空间声明，避免祖先节点的无关声明污染规范化结果
50%待验证本次披露的四个漏洞均可归类为认证绕过，均源于同一类解析歧义，攻击者不需要破解加密算法或窃取私钥即可构造利用载荷
50%待验证任何“先验签、后解析”的协议（包括部分 JWT 和 WS-Security 实现）都存在类似的解析器不一致风险，防御核心原则是安全决策和业务逻辑必须基于同一份数据视图
50%待验证SAML 响应是带数字签名的 XML，其签名验证与身份属性提取往往使用不同的 XML 解析器、不同的 XPath 表达式或不同的命名空间处理方式，造成双解析器不一致
50%