saml-2.0 - Kentor.AuthServices 是否正确注销？

Question

我正在使用 Kentor.AuthServices 实现 SAML/SSO 身份验证的服务提供商概念验证。该用例是一种信息亭式应用程序，许多不同的用户在注册我们的服务时可能会相继进行身份验证。

我遇到的问题如下:注销后，用户未按预期进行身份验证(User.Identity.IsAuthenticated == false)。但是，当下一个用户登录时，之前注销的用户将重新进行身份验证，而无需输入凭据。这是预期的行为吗？如果是这样，有没有办法阻止这种行为(除了手动转储cookie)？

Answer 1

最有可能发生的情况是您确实正在终止 SP 上的本地 session 。但是，当您尝试再次登录时，Idp 仍然有一个事件 session ，并会自动使用该 session 重新进行身份验证。

要解决此问题，您需要使用单点注销。 AuthServices 从 0.17.0 开始支持这一点。要启用它，您需要配置服务证书(注销消息需要签名)。当然，您的 Idp 必须支持它。检查 Idp 元数据中的注销端点。