使用 SAML 的 SSO 联合元数据交换

Question

我们即将将我们的 JAVA 应用程序与 SSO 联合集成。我们将获得 SAML2 断言格式的元数据，所有会话跟踪都由 SSO 联盟负责。 我不清楚我们的 JAVA 应用程序中的每个请求是如何进行会话跟踪的。我们的主页 URL 是在 SSO 联合中配置的，并且在用户单击链接控件后，我们的应用程序就会出现。因此，如果我导航到配置的 URL 之外的其他 URL，联合如何跟踪会话？我们是否需要为每个请求传递任何元数据？ 我们已被要求共享主页 URL 和证书信息，SSO 联盟将在其门户中配置这些信息。

Answer 1

Java 应用程序服务器通常使用“JSESSIONID”cookie 跟踪用户会话。一旦由 IDP（比如 ADFS）生成的 SAML 断言已由 SP（此处为 java 应用程序）验证，就会创建一个由 JSESSIONID 标识的安全上下文/会话。浏览器发送带有 seubsquest 请求的 JSESSIONID cookie，应用程序对其进行验证并将请求的资源/URL 提供给服务器。