SSO：SP是否应该在每个请求中验证与IDP的会话

Question

根据SP启动的SSO流，用户尝试访问SP。由于用户未经身份验证，他被重定向到IDP，在那里输入他的凭据，成功登录后，IDP在用户的浏览器中设置cookie（在IDP的域下），并使用SAML响应将用户重定向回SP。一旦SP验证SAML响应，它就会创建自己的cookie/令牌，并在sp域下的用户浏览器中设置。

在后续请求中理想情况下应该发生什么：

1. SP是否应该只依靠自己的cookie来获取用户信息
2. SP是否应该在每个请求中验证与IDP的用户会话。

如果建议使用选项1，从安全角度来看是否可以，因为登录后SP和IDP之间没有通信以进行进一步的请求。

如果建议选项2，则在每个请求中调用IDP都会产生开销，这可能会影响SP的性能。

请在这里建议什么应该是理想的流量。

Answer 1

因此，用户已由身份提供程序授权/身份验证。您是否担心此授权/身份验证可能会突然过期？例如，IdP 可能属于用户的雇主，当用户被解雇时，立即撤销对 SP 的访问权限至关重要？也许用户发现他的凭据被盗，因此关闭/阻止了他的IdP帐户，您是否也希望能够停止SP会话？您只能在选项 1 中执行这些操作，因此这是更安全的选项。

正如你所说的，这会带来很大的开销。所以问题基本上是，一旦用户的IdP帐户被撤销，您的SP会话立即终止对您来说有多重要。

顺便说一句，我不喜欢的是IdP将会话存储在cookie中。在我看来，他不应该这样做，特别是如果你实现选项2，他不应该这样做。这样做的原因是，这使得注销变得非常棘手：用户现在应该记得在SP和IdP上注销，而他只需要登录一次。

Answer 2

如果建议选项1，从安全角度看，登录后SP和IDP之间没有进一步请求的通信是否正常。

[ME]是的，验证cookie应该是SP的责任(可能使用其中的所有详细信息进行加密，或者通过指向永久存储区的ID进行引用)。IDP的工作是提供已经完成的身份。

如果建议选项2，则在每个请求中调用IDP都会产生开销，这可能会影响SP的性能。

[我]是的，用IDP验证用户会话太多了。其工作方式是，如果SP会话已经无效或正在创建，则转到IDP，如果IDP cookies会话有效，则给出SAML响应/声明，否则进行身份验证，最后SP创建新会话。

HTH