Ein Identity Provider stellt eine Assertion aus (Subject, Bedingungen wie NotBefore, NotOnOrAfter und AudienceRestriction, Authentifizierungsaussage und Attribute), signiert sie mit XML Signature und liefert sie in einer Response über den Browser aus, meist mit dem HTTP-POST-Binding. Der Service Provider prüft die Signatur gegen das Zertifikat des IdP aus den Metadaten, außerdem die Audience, das Zeitfenster, den Wert InResponseTo und die Ziel-URL.
Die meisten schweren SAML-Fehler sind Fehler in der XML-Verarbeitung: Signature Wrapping (der Verifizierer prüft ein signiertes Element, während die Anwendung ein anderes, unsigniertes liest), das Abschneiden von Namenskennungen an Kommentaren (2018, mehrere Bibliotheken), die Expansion externer XML-Entitäten und Signaturen, die nur einen Teil einer Response abdecken. Nutze eine gepflegte Bibliothek und validiere Signaturen nie mit generischem XPath-Code.
Für neue Anwendungen ist OpenID Connect meist einfacher, doch Unternehmenskunden verlangen oft SAML; viele Produkte unterstützen beides. Der SAML-Inspektor dekodiert und prüft Assertions lokal.