Question

我们正在使用ComponentSpace.SAML2.Profiles.SSOBrowser.IdentityProvider并调用SendSAMLResponseByHTTPPost来执行SSO并将用户重定向到另一个URL。

这在IE和Firefox上运行良好，但在Chrome上，浏览器中会显示以下内容

＆＃13;

<html xmlns="http://www.w3.org/1999/xhtml">
    <body onload="document.forms.samlform.submit()">
        <noscript>
            <p><strong>Note:</strong> Since your browser does not support Javascript, you must press the Continue button once to proceed.</p>
        </noscript>
        <form id="samlform" action="https://REDACTED URL" method="post">
        <div>
            <input type="hidden" name="SAMLResponse" value="REDACTED SAMLResponse"/>
            <input type="hidden" name="RelayState" value="https://REDACTED URL"/>
        </div>
        <noscript>
            <div><input type="submit" value="Continue"/></div>
        </noscript>
        </form>
    </body>
</html>

＆＃13;

这适用于具有相同代码的本地环境中的Chrome。

我们遇到问题的环境中存在一些SSL证书问题。不确定这是否相关 - Chrome是否比其他浏览器更严格？

Answer 1

这是因为标题＆＃34; x-content-type-options：nosniff＆＃34;存在，阻止Chrome自己确定MIME类型。显式添加Content-Type标头解决了该问题。 https://www.owasp.org/index.php/List_of_useful_HTTP_headers

Answer 2

感谢您提供的信息。

我们还没有通过Chrome或任何其他浏览器看到它。

跟踪HTTP流量我看到包含以下标头：

Content-Type：text / html;字符集= UTF-8

我想知道在你的场景中中间节点是否剥离了这个标题？

Chrome中显示的原始标记而非SSO重定向 - IdentityProvider.SendSAMLResponseByHTTPPost

2 个答案: