saml - SAML token 是否缓存/存储在浏览器的任何位置？

Question

场景:

1. 浏览器(用户)向服务提供商 (SP) 请求资源。
2. SP 重定向(通过 SAML 请求)到身份提供商 (IdP)。
3. 由于是首次登录，用户会向 (IdP) 提供他/她的有效凭据。
4. 然后，IdP 将浏览器(使用包含 SAML token 的 SAML 响应)重定向到 SP 页面。

我有两个问题:

A.在步骤 4 中，浏览器是否存储或缓存 SAML 响应和/或 SAML token ？

B.如果是，什么样的事情(属性？超时？协议(protocol)？)阻止我获取存储的 SAML token 。然后将其复制到另一台计算机(使用新 session )并使用该 token 登录到同一 SP？

Answer 1

答案是“有点”重新缓存。在您的场景中，响应将通过 POST 从浏览器发送到服务提供商。因此浏览器可以“缓存”包含 SAML 响应的 POST 数据。因此，就像浏览器中的任何其他 POST 事件一样，如果用户在登录 SP 后使用后退按钮足够多次以返回到 POST 事件，则 POST 数据可能会重新发送到 SP。

有一些事情可以帮助防止响应被劫持 -

1. 各方之间使用 HTTPS
2. SP 强制执行 NotBefore 和 NotOnOrAfter 属性
3. SP执行一次性使用标准(SP必须确保Response在其有效期内不会被重复使用。如果在有效期窗口之外收到消息，则SP应丢弃该消息)