java - 谁将设置包含凭据信息的 saml cookie

Question

我正在查看 SAML 文档。假设applicatin1将发送登录请求，它将联系IDP进行身份验证，并且Idp对用户进行身份验证。假设我是第一次登录，在这种情况下，IDP 会要求输入用户名密码，它会保存用户名密码，下次就不会要求输入用户名密码。

我有以下疑问。

1. 由于在saml中不同的应用程序可以使用相同的用户名密码登录，IDP如何保存用户名和密码，我读到它存储在cookie中，但cookie仅限于一个应用程序，我们无法在不同的应用程序之间传递cookie。如何处理？

2. 我们是否需要编写代码来创建 cookie 来保存用户名密码，或者 saml/idp api 会处理它。

Answer 1

当我开发 SAML IdP 时，登录信息存储在 cookie 中，每当用户返回 IdP 时就会解析该 cookie。例如用户转到 SP1，重定向到 IdP，使用用户名/密码登录，IdP 为其自己的域设置 cookie，将用户重定向到 SP1。然后，用户转到 SP2，被重定向到 IdP。 IdP 看到 cookie，解析用户， session 尚未过期，因此从 session 加载用户信息并将用户重定向到 SP2。

重要的不是 IdP 如何记住用户(它可以随心所欲地记住用户，因为 SP 永远看不到登录)。重要的是 IdP 向 SP 发送哪些属性。因此，相同的用户登录可能会导致从相同的 IdP 登录事件发送到 SP1 和 SP2 的完全不同的属性。

在 SP，应用程序如何处理属性取决于应用程序。例如，它可以创建一个 JSESSIONID 并将来自 IdP 的 SAML 断言卡在其上。如果用户在 JSESSIONID 超时内返回，SP 将仅使用这些属性。如果超时，SP 会将用户重定向到 IdP，但如果 IdP cookie 未过期，则用户无需再次登录 IdP，并且属性将静默发送到 SP。