Mi suposición (y mi experiencia con SAML es limitada, creo que solo una vez ayudé a alguien a configurarlo) es que el problema está en el lado de SAML. O bien está configurado para enviar el hash o estás utilizando de alguna manera el campo incorrecto.