SAML 2.0 响应

Question

我正在开发基于 SAML 2.0 的 SSO 集成。除了一件事外，我几乎可以端到端地进行集成。 SP 正在向 IDP 发送 SAML 身份验证请求，并且 IDP 正在使用 SAML 身份验证响应进行响应。这里的 IDP 是 CA Siteminder，SP 是 Picketlink Over JBoss 5.1。但是，应用程序本身（配置为 SP）如何知道用户已通过 IDP 身份验证。这会自动发生吗？如何防止应用程序再次提示用户？我相信，我应该禁用我的应用程序中已有的所有身份验证机制？这是真的吗，还是有其他方法？

Answer 1

SP 不知道用户是否有活动的 IDP 会话。如果没有本地 SP 会话，那么您的应用程序将向 IDP 发出 AuthnRequest。如果用户已经在 IDP 上使用活动会话登录，则 IDP 通常会生成一个新的 SAML 响应供您的 SP 使用，而不会提示用户再次登录（因为他们有一个活动会话）。如果提交 AuthnRequest 的用户没有活动会话，则由 IDP 正确验证用户并将 SAML 响应发送回 SP。

此流程假定您没有 SP 应用程序的本地登录功能，并且用户必须通过 IDP 登录。如果您有本地登录，那么试图找出哪些用户在何时何地获得重定向以进行身份​​验证会变得更加复杂。

HTH 伊恩