ITfoxtec SAML 2.0 - 单次注销

Question

我有一个 IdP 和两个 SP（A 和 B）设置。 SSO 在它们之间运行良好。当我从站点 A 注销时，单点注销也有效（它也将用户从站点 B 注销）但是当我尝试从站点 B 注销时会出现问题。它将用户从站点 B 注销但是当我导航到站点 A 时在我删除会话 cookie 或会话超时之前仍处于登录状态。

站点 A 使用 ITfoxtec.Identity.Saml2 SAML2.0 MVC 实现。

如果我手动删除 cookie 并刷新页面，我将被重定向到登录页面。

它似乎终止了会话，但会话 cookie 仍然存在于浏览器中，它允许用户浏览直到它过期，它无法更新它。

SingleLogout 端点与示例中的相同 (Source from ITfoxtec.Identity.Saml2 - TestWebApp)

你见过类似的吗？我想不出在这种情况下可以做什么。

public ActionResult SingleLogout()
        {
            Saml2StatusCodes status;
            var requestBinding = new Saml2PostBinding();
            var logoutRequest = new Saml2LogoutRequest(config, ClaimsPrincipal.Current);
            try
            {
                requestBinding.Unbind(Request.ToGenericHttpRequest(), logoutRequest);
                status = Saml2StatusCodes.Success;
                logoutRequest.DeleteSession();
            }
            catch (Exception exc)
            {
                // log exception
                Debug.WriteLine("SingleLogout error: " + exc.ToString());
                status = Saml2StatusCodes.RequestDenied;
            }

            var responsebinding = new Saml2PostBinding();
            responsebinding.RelayState = requestBinding.RelayState;
            var saml2LogoutResponse = new Saml2LogoutResponse(config)
            {
                InResponseToAsString = logoutRequest.IdAsString,
                Status = status,
            };            
            return responsebinding.Bind(saml2LogoutResponse).ToActionResult();
        }

Answer 1

当浏览器从 IdP 重定向到站点 A 时，可能是您的 IdP 限制将 cookie 发送到站点 A 而不是站点 B。如果是这种情况，您可以尝试使用 POST 而不是重定向。 POST 可能不受限制。

您可以在 Fiddler 或浏览器中跟踪 HTTPS 流量进行调试。