single-sign-on - SSO(例如 SAML)中使用的 RelayState 参数到底是什么？

Question

我正在尝试使用 SAML 来理解 SSO。我遇到过 RelayState 参数，并且非常困惑为什么它在 SSO 中首先发送编码的 URL？具体是什么意思？

请阅读以下内容 the Google Developer documentation :

Google generates a SAML authentication request. The SAML request is encoded and embedded into the URL for the partner's SSO service. The RelayState parameter containing the encoded URL of the Google application that the user is trying to reach is also embedded in the SSO URL. This RelayState parameter is meant to be an opaque identifier that is passed back without any modification or inspection

Answer 1

RelayState的原始含义是SP可以将一些值与AuthnRequest一起发送给IDP，然后将其取回。 SP 可以在 RelayState 中放入任何它想要的值，而 IDP 应该在响应中回显该值。

This RelayState parameter is meant to be an opaque identifier that is passed back without any modification or inspection

在使用 Idp 发起的登录时，RelayState 还有另一种事实上的标准用法。在这种情况下，没有来自 SP 的传入请求，因此无法中继回任何状态。相反，IDP 使用RelayState 向 SP 发送信号成功登录后 SP 应重定向到的 URL。在标准(Bindings 4.1.5)中，规定 RelayState“可以是服务提供商处资源的 URL。”

看起来 Google 正在使用 RelayState 作为目标 URL，即使在 SP 发起的登录中也是如此，这完全没问题。但正如文档所述，IDP 应该将其转发回来。