WSO2 身份服务器 SAML SSO 返回 url

Question

是否有可能在执行 SAML SSO 时以某种方式将返回 url 传递给身份服务器，并在用户成功进行身份验证时将该 url 回发到我的断言 url？

Answer 1

中继状态 (描述 here )发送到 IdP 的参数可用于将返回 URL 发布到 IdP，并在从 IdP 发回身份验证响应时将其返回。当然，因为这是一个 HTTP POST 参数，如果你在那里存储一个 URL，它必须被正确地编码/解码。

但是请记住，攻击者可能会使用它来欺骗用户打开受信任的 URL(身份服务器的)并将其重定向到恶意站点。为了防止这种情况，应该验证重定向 URL。