对 SAML 和 OAUTH 的质疑

Question

现在我正在处理 SAML 和 oauth。我有几个问题，我想知道是否有人澄清了我的疑问 -

1. 据我了解，根据 SAML2 规范，SAML 响应的有效性取决于 SAML 响应中的 NotOnOrAfter 属性。
2. 当 SP 从 IdP 取回响应时，SP 如何跟踪 SAML 请求？ - 我认为这取决于 IdP 根据 SAML2 规范在 SAML 响应中的 InResponseTo 属性。

我也想知道，如何设置 OAUTH 令牌的到期时间。谷歌搜索后，我发现 OAUTH 响应中有一个属性“expires_in”，它告诉令牌的有效期，但我不确定如何使用 Scribe 使用它。我正在使用 scribe 连接到不同的提供商。

Answer 1

1. 是的，NotOnOrAfter 属性是 Conditions 的一部分，它决定响应何时以及如何有效。
2. 如果 SP 需要跟踪响应，SP 可以通过InResponseTo 参数做到这一点。请注意，许多 SAML2 实现允许主动（即 Idp 发起）会话，其中 Idp 发送响应而从未从 SP 收到 AuthnRequest。