WIF 基本原理 (2)：宣告基礎身分模型核心概念與實作機制

宣告基礎身分模型將使用者資訊封裝為「宣告」傳遞給應用程式，應用程式據此做身分決策。核心優勢：應用程式無需自行驗證、儲存密碼、查詢目錄、整合異構系統，實現真正的關注點分離。

七大基礎術語

1. 身分：描述實體特性的集合 (姓名、角色、偏好等)。
2. 宣告：單一身分資訊片段，由簽發者簽署，信任度等同簽發者。WIF 用 Claim 類型，含 Issuer 屬性。
3. 安全權杖：經序列化並數位簽署的宣告集合。SOAP 標頭或 HTTP POST/ Cookie 傳輸。WIF 處理加解密與序列化。
4. 簽發機構：簽發安全權杖的服務 (如 ADFS、自訂 STS)，負責驗證使用者並簽發正確宣告。
5. 標準協定：WS-MetadataExchange、WS-Policy、WS-Trust、SAML 等，實現跨平台互通與 SSO。
6. 瀏覽器應用流程：RP 導向 STS 驗證 → STS 回傳 SAML (JS POST) → RP 快取 Cookie 維持會話。
7. CardSpace/身分選擇器：管理多重身分、協助選擇適當身分、保護隱私。WIF 提供序列化 API。

從傳統 IPrincipal 到宣告模型

傳統 IIdentity (驗證) + IPrincipal (授權) 綁定 Windows/Form 驗證，難以跨網域、雲端、異構系統統一。宣告模型將驗證外包給 STS，應用程式只消費宣告，如同列印工作交給驅動程式，應用程式只呼叫 PrintDocument。

實體與流程

使用者 (如影迷) → IP (驗證並簽發宣告) → RP (售票員/影院，消費宣告授權)。流程：使用者向 RP 請求 → RP 導向 IP → IP 驗證簽發權杖 → 使用者呈現權杖給 RP → RP 驗證簽章與宣告授權（圖 15-2、15-3）。

圖 15-2 宣告模型實體關係

圖 15-3 驗證流程時序

作者：玄魂
出處：https://www.cnblogs.com/xuanhun/