wso2是SingleLogoutProfile POST绑定

Question

我想知道wso2s符合saml2 SSO规范的程度。特别考虑使用POST绑定的SingleLogoutProfile。在一个SP启动注销后，IS会识别参与的SP以便注销，并通过HTTP直接向每个SP发送一个LogoutRequest。

吼我正在从规范（line 1161）中复制一幅图像。注意步骤3并注意灰色的User-Agent。它是灰色的，因为SOAP绑定绕过用户代理并将请求直接发送给会话参与者。然而，POST绑定应该与User-Agent的参与一起工作！ （line 765）

我使用wso2is 4.6.0，使用spring-security-saml-extension RC2。当spring-extension收到LogoutRequest（步骤3）时，它假定有一个登录用户，只有当http-request来自用户代理时才会这样！否则，SP必须维护某种将global-session-id链接到local-session-id的表，并查找在接收logoutrequest时终止的会话。此blog中也建议使用此方法。

所以要么我误解了saml2-specs，要么是wso2家伙！我宁愿相信它，所以有人请赐教我！

Answer 1

HTTP-POST是一种前端通道绑定，其消息交换必须通过User-Agent并使用HTML表单。

如果wso2将POST调用直接发送到SingleLogout端点（与SOAP绑定类似 - 没有用户代理的参与），遗憾的是它们不遵循规范。这可能会导致互操作性问题，就像您遇到的那样。