在单点登录期间，在TAI和ACS处理SAML响应之后，如何访问它

Question

我开发了一个自定义Web应用程序（WAR），它需要从请求对象中检索SAML响应并从中提取用户配置文件属性。在WebSphere（服务提供商）上部署相同的

尝试实现以下方法，其中:: -OneLogin（身份提供者）发送SAML响应和中继状态-SAML响应由ACS应用程序处理-ACS应用程序将用户重定向到自定义Web应用程序（设置在IdP的RelayState中）-然后，该应用程序将从请求中检索SAML响应对象，使用用户配置文件属性填充动态缓存，并将用户重定向到主应用程序主页。

目前，当ACS重定向到定制web应用程序(设置为中继状态)时，SAML响应(一旦被WebSphere TAI和ACS应用程序接收和处理)似乎不可用。是否可以将ACS应用程序的SAML响应保存并传递给自定义web应用程序？

如有任何帮助/指示，将不胜感激。

温馨的问候，埃坎什

Answer 1

保存和传递SAML响应是没有意义的。本质上，正如协议所定义的，一旦用户通过身份验证@ OneLogin，它就在SAML响应中将SAML令牌发送回ACS。ACS验证SAML令牌，并允许用户继续操作。

现在，如果您要将用户重定向到自定义 Web 应用程序并希望使用 SAML ，那么理想情况下，您应该在应用程序中实现一个 SAML 服务提供程序库，并且您的自定义 Web 应用程序将充当另一个 SAML 客户端 ，在 OneLogin 中注册。在这种情况下，如果在这种情况下，在标识提供者处启用了SSO，用户将获得类似SSO的体验 OneLogin ，因为他在登录到ACS时已经对自己进行了身份验证。

Answer 2

在您的应用程序中不可能获得原始的SamlResponse消息。但是，可以从应用程序获取SAML令牌(SAML XML文件)。通常，用户可以使用此SAML令牌通过SOAP安全头或Http头进行web服务调用，或者进行WS-Trust调用以将SAML令牌交换为新的SAML令牌，用于下游服务调用。你能进行web服务调用(JAX-WS或者JAX-RS)来代替浏览器重定向吗？如果web服务调用对您有用，我可以帮助您使它工作。