single-sign-on - SAML:即使用户有 IDP session ，是否也可以强制用户完成登录过程

Question

在 SAML 中，是否可以强制用户每次都通过 idp 的登录过程，即使用户有一个事件的 idp session ？

这里做一个具体的例子:让我们称我的应用程序为“SP”我使用 SSOCirecle 作为 idp，我使用 POST 和重定向(SP 启动)。

为了进行测试，我将首先登录到 SSOCircle 以获取事件的 idp session 。然后，当我尝试转到 SP 时，我应该被重定向到 idp。

通常情况下，由于我已经有一个事件的 idp session ，idp 会看到“哦，你之前已经通过身份验证了，你可以直接去 SP!”

但我不想这样，我希望 idp 每次都强制用户输入凭据，也许是(我猜)

1. 忽略事件的 idp session
2. 不要创建 idp session

我想知道这是否可行。

Answer 1

是的，SP 可以在 AuthnRequest 中向 Idp 发送标志 ForceAuthn 以要求新的身份验证，而不是重新使用现有 session 。

与 SAML2 一样，您不能期望所有 Idps 都支持所有内容。你必须测试你的 Idp 是否支持 ForceAuthn 标志。