authentication - 通过删除 IDP cookie 在 Shibboleth 中使用全局注销

Question

我有一个使用 Shibboleth 进行身份验证的产品。

当用户在网站上发起注销时

Web 服务器向 Shibboleth SP 发送注销请求。

SP 在收到请求时删除 cookie 帖子。

但是，如果用户返回该网站，则不会提示登录页面

对于下面显示的配置，我正在使用此处给出的 Shibboleth 服务提供商
https://www.testshib.org/install.html#SP .它被配置为使用 testshib.org IdP 详细信息，可以阅读 here



我相信 IdP 不会删除其 session cookie 并在步骤 3 中重新登录用户。

有关 IdP Cookie 的更多信息:

此 wiki-source状态 IdP 使用两个 cookie _idp_authn_lc_key认证后删除。第二个是 session cookie '_idp_session'，它指出:

Once a user has been authenticated they will have a long-lived session with the IdP which is tracked by a cookie named _idp_session. This cookie contains only information necessary for identifying the user's IdP session. This cookie is created as "session" cookie and will be removed when the browser chooses to remove such cookies (often when the browser is closed).

我的问题是

我需要对 SP 进行哪些更改才能请求 IdP 删除相同内容并有效地创建 全局注销 ?

Answer 1

无论如何，您将很难迫使 IdP 注销用户。 cookie 方法是一个实现细节，并非所有 IdP 都使用它，它可能会改变。一些 IdP 可能会提供注销 URL，但老实说，这对用户来说可能是坏事(你能想象，如果你能想出一种方法，不仅可以从你的站点，还可以从他们与任何其他 SP 的 session 中不断地取消对用户的授权吗？)。您实际上只能控制自己在服务提供商上的 session 。

当您的用户返回/回到您的 SP 时，为什么不强制重新验证？如果他们最近在访问后没有通过 IdP 的身份验证(这是您从 SAML 交换返回的字段)，只需再次将它们发送回 IdP 并传递强制重新验证标志。

如果您使用的是 Shibboleth 软件，它甚至是内置的:
https://wiki.cac.washington.edu/display/infra/Configure+a+Service+Provider+to+Force+Re-Authentication