我没有这种情况下的SAML请求

Question

在我的工作中，有一个SAML身份验证器提供程序。出于好奇，我打开了浏览器的devTools以在身份验证期间遵循saml序列。期待像：

• 服务器向我发送了SAML请求，并且是证书。
• 我的浏览器问我应该使用什么证书来认证我。
• 我的浏览器将信息发送到服务器。
• 服务器识别出我并向我发送了令牌以允许访问服务。

但事实与我的预期略有不同。实际上，根据我的网络浏览器：

• 服务器使用包含一些参数的GET请求将我重定向到SAML身份验证服务器： SAML Before cert selected

• 我的浏览器问我应该使用什么证书。

• 我的浏览器更改了上述请求的标头，并收到服务器的响应，服务器将我重定向到我的服务。我现在确定了： SAML After cert selected

所以这里有一些问题：

• 1：服务器如何在不接收有关我的信息的情况下使我自发？
• 2：我的浏览器对他选择的证书做了什么？
• 3：什么是SAMLRequest和RelayState参数？
• 4：为什么在选择任何证书之前，我的请求都有一个“临时标头”，然后他在获得任何响应之前先获得一个令牌？

希望你们可以回答我的问题。

预先感谢

最诚挚的问候

Answer 1

通常，在使用SAML的情况下，IdP向SP发送有关已认证用户的断言。

IdP发生实际身份验证的方式超出了范围。

大约1/2：访问IdP时，它可能被配置为使用“ TLS客户端身份验证”执行“自动登录”。当您的浏览器参与“ TLS客户端身份验证”时，IdP会了解您（或更了解所提供的证书）。

大约3：由于使用了HTTP重定向绑定，因此SAMLRequest请求参数是经过deflate编码的SAML AuthnRequest ...请检查SAMLv2规范。 RelayState请求参数保存成功执行“ SP指示的SSO”流后SP将重定向到的目标URL。