与 isPassive 的 HTTP-Post 绑定

Posted 2023-02-24

【中文标题】与 isPassive 的 HTTP-Post 绑定

【英文标题】：HTTP-Post binding with isPassive

【发布时间】：2017-08-24 21:01:06

【问题描述】：

我的问题非常类似于：How should I be implementing the HTTP POST Protocol Binding for SAML WebSSO Profile?

但我无法在其中找到正确的答案。是否可以通过将isPassive 设置为 true 的 HTTP-Post 绑定发送请求。 Oasis 规范规定 IdP 不得“明显地”控制用户界面。因此，IdP 必须以某种方式了解用户。

如果用户已经在 SP 端的会话中处于活动状态，我如何将该信息传递给 IdP 并让他们重新对用户进行身份验证？

我要验证用户，不妨碍用户的流量……

【参考方案1】：

有几种常用方法可以通过 IsPassive=true 重新验证用户。例如，集成 Windows 身份验证 (Kerberos) 和基于 x509 证书的身份验证都可以在不考虑用户体验的情况下完成。

如果您在 AuthnRequest 中结合了 ForceAuthn=true 和 IsPassive=true，它应该强制 IDP 重新对用户进行身份验证如果这两个条件都可以满足。