要求用相同的IDP重新认证 - Spring SAML

Question

@vschafer

我有一个场景，我的应用程序充当服务提供者之一。我的应用程序也与另一个服务提供商进行交互以获得访问权限。但是两个服务提供商都在使用相同的IDP进行身份验证。

1. 用户通过验证IDP
登录我的应用程序
2. 成功验证后，用户可以访问应用程序
3. 现在，用户尝试访问应用程序中的资源
4. 用户被重定向到另一个服务提供商应用程序，该应用程序也使用相同的IDP进行身份验证
5. 虽然用户使用相同的IDP进行一次身份验证，但系统会要求用户再次向第二个服务提供商进行身份验证。

我认为不应该允许用户再次强行进行身份验证。如果我对此的理解是正确的，请告诉我。

更重要的是，forceAuthn在这种情况下可以发挥作用吗？

Answer 1

所有这些都不应与您的应用程序或Spring SAML有任何关联。一旦您将用户重定向到第二个应用程序（步骤4），它就有责任与IDP进行交互（发送自己的AuthnRequest并收到Response）并且您无法影响关于它。

第二个应用程序可能在向IDP发送forceAuthn时设置AuthnRequest标志 - 强制IDP重新验证您的用户。它也可能与IDP方面的某些设置有关，或者可能与某些cookie问题有关。您应该与IDP的所有者进行沟通，并要求他们解决用户为什么要求重新进行身份验证（例如检查他们的日志）而不是单一登录。