SAML2 Single Logout，在哪里发布回复？

Question

我对SAML2单点注销中的请求/响应的位置感到有点困惑。

对于单点登录，IDP上有一个端点用于接收请求，端点在SP上用于接收响应。所以每个终点只有一个目的。

但是，单次注销可以是SP和IDP触发，但我总是看到只有1个端点用IDP和SP定义。这是否意味着请求和响应都必须转到同一个端点？因此，要知道它是请求还是响应，IDP或SP需要查看它收到的XML？

Answer 1

SAML 2.0标准doc reference中有一个所谓的Single Logout profile。

在第32页的4.4 Single Logout Profile中，详细说明了流程如下：

会话参与者向身份提供商发布的
1. <LogoutRequest>
2. 身份提供商确定会话参与者
3. <LogoutRequest>由身份提供商发布给会话参与者/权限
4. 会话参与者/授权机构<LogoutResponse>向身份提供商
发布
5. 身份提供商向会话参与者发送<LogoutResponse>

SLO的基本流程如下所示：

正如PingFederate SLO implementation和PortalGuard article中的详细信息，您可以看到SP发起的SLO与IdP发起的SLO之间的区别仅在于发出<LogoutRequest>并且在收到{{ 1}}，谁负责向最终用户显示退出页面。

希望这能解决您的疑虑。