SAML 的複雜性促使人們轉向 OpenID Connect

SAML 是一種以 XML 為基礎的驗證協定，曾協助建立企業單一登入產業，但如今因複雜性、安全風險與過時的設計而再次受到批評。SAML 由 OASIS Security Services Technical Committee 於 2002 年開發，後來被大學、企業 IT 部門，以及 Ping Identity、OneLogin 和 Okta 等身分提供者廣泛採用。 安全研究人員曾多次發現 SAML 實作中的弱點，尤其是 XML 簽章包裝攻擊、解析器差異與正規化缺陷。由於依賴 XML，相關實作也面臨 XXE、實體擴展與注入漏洞等風險。這套廣泛且由委員會主導的規格包含許多很少使用的功能，增加了安全與維護負擔。 文章指出，SAML 並非為今日的行動環境、單頁應用程式、物聯網與零信任環境所設計。OpenID Connect（OIDC）建構於現代網路基礎架構與 JSON 型權杖之上，被視為較佳替代方案。OIDC 也透過 PKCE、裝置授權與 proof-of-possession 機制等新增功能持續發展。 文章建議服務提供者支援 OIDC，而不是再增加新的 SAML 整合。身分提供者應制定移轉計畫、停止導入新的 SAML 客戶、提供等效的 OIDC 設定，並訂定淘汰日期。對加密貨幣交易者而言，這項消息不會直接影響加密貨幣價格，但凸顯出更廣泛地轉向簡單且更具適應性的驗證基礎架構，可能影響交易所、錢包與 Web3 服務的安全實務。