元数据文件中没有任何敏感信息。它提供了 SP 可以用来信任来自 [IdP] 的断言的信息（因此没有其他人可以声称是 [IdP]）。它包含的典型信息是：SSO URL、颁发者名称和包含 PKI“公共”密钥的证书。无论如何，所有这些都是公开的（因为任何用户都可以在 SAML 断言中看到它们，如果他们在浏览器中捕获它）。有了这些信息，坏人真的什么都做不了。

^{源链接死了。}