authentication - 单点登录 : Should SP validate session with IDP in every request

Question

根据 SP 发起的 SSO 流程，用户尝试访问 SP。由于用户未经身份验证，他被重定向到 IDP，在那里他输入他的凭据，成功登录后，IDP 在用户的浏览器中设置 cookie(在 IDP 的域下)并使用 SAML 响应将用户重定向回 SP。 SP 验证 SAML 响应后，它会创建自己的 cookie/ token 并设置在 sp 域下的用户浏览器中。

理想情况下应该在后续请求中发生什么:

SP 是否应该仅依靠它自己的 cookie 来获取用户信息

SP 是否应该在每个请求中验证与 IDP 的用户 session 。

如果建议使用 选项 1 ，从安全角度来看是否可以，因为登录后 SP 和 IDP 之间没有通信以供进一步请求。

如果建议使用 选项 2 ，则在每个请求中调用 IDP 都会产生开销，这可能会影响 SP 的性能。

请建议这里的理想流程应该是什么。

Answer 1

如果建议选项 1，从安全角度来看是否可以，因为登录后 SP 和 IDP 之间没有通信以进行进一步请求。

[ME] 是的，验证 cookie 应该是 SP 的责任(可能用其中的所有细节加密或通过指向持久存储区域的 ID 引用)。 IDP 的工作是提供已经完成的身份。

如果建议选项 2，则在每个请求中调用 IDP 都会产生开销，这可能会影响 SP 的性能。

[ME] 是的，用 IDP 验证用户 session 太多了。它的工作方式是 - 如果 SP session 已失效或正在创建，则转到 IDP，如果 IDP cookie/ session 有效，则提供 SAML 响应/断言，否则进行身份验证，最后 SP 创建一个新 session 。

哈。