javascript - 重新使用 SAML token ，JSON Web 服务的客户端 - 登录网站后

Question

我正在构建一个使用 SAML token 保护单点登录的网站。其中一个表单有很多输入字段，应该触发对相同或其他输入字段和表格内容的更新和验证。

验证和更新是服务器端的句柄。使用 WCF JSON Web 服务更新表单上的值会触发通知服务器的 javascript。该服务然后返回新值和验证消息。

问题是，应该保护网络服务并授予访问权限，使用通过登录网站向用户颁发的 SAML token 。

[编辑:完成更多研究]身份验证后，SAML token 始终以 FedAuth cookie 的形式传递到服务器。不需要将 token 添加到 JSON(或 ajax)Get header 。问题是，我似乎无法让 WIF 处理 cookie 的验证。因此，我从 JSON 服务中删除了联合身份验证，并将尝试从 HttpContext 读取 cookie。哪个有效，但我无法解密它。

有没有人有这方面的经验？有没有人有这方面的经验？

Answer 1

token 未作为 FedAuth cookie 传递。这是由网站本身生成的(实际上是由 WIF 生成的)。在 IdP 中成功验证后， token 通常作为 POST 传递。

如果 Web 服务在同一个网站上共同托管，那么它就“正常工作”，这要归功于 WIF 的魔力。对服务的调用将包括 cookie，WIF 将愉快地解析/验证它，并为您提供一个 IPrincipal(一个 IClaimsPrincipal)。