首先，我对这个新手问题感到抱歉！考虑到GDPR的所有问题，我想知道我是否需要使用电子邮件进行SAML身份验证，或者是否有一种方法可以使用用户名或其他唯一ID进行身份验证？目标是根本不处理电子邮件，但仍然使用SAML。
我发现电子邮件是一个糟糕的标识符选择，因为人们喜欢它们偶尔改变(结婚、离婚等(。
SAML不要求使用任何特定的事物作为主题，他们将其开放。此外，该协议还提供了假名名称标识符的概念——暂时性和持久性。您可以在SAML等级库的第3605行到第3654行之间看到这些。
最终，SAML是一种协议，它围绕如何传递您和您的合作伙伴共同同意的标识符来封装结构。如果您根据目录对用户进行身份验证(他们仍然可以使用电子邮件作为IdP标识符(，则向合作伙伴发送用户的UUID。只要他们可以使用该标识符(因此，您的用户已被提供到SP中，并将其目录中的UUID作为标识符(，那么您就可以在断言中发送该标识符，并且您没有传递任何违反GDPR规则和精神的信息。