带有mod_auth_mellon pingfederate 的动态回调 URL

Question

我们用mod_auth_mellon配置了我们的SPA，SP发起的设置运行良好。我们现在想添加动态路由到发起SSO SAML调用的SPA URL的能力。

下面是电流

< li >用户打开URL http://foo.com/user/1 < li >会话已过期，因此SP启动SSO握手，并将用户重定向到IDP (Ping联合)。 < li >用户在IDP上登录，并在成功认证后被重定向到http://foo.com/sso_callback

在步骤（3）中，我们现在要重定向回http://foo.com/user/1.我应该在SP/IDP配置中进行哪些配置更改以启用动态路由？

Answer 1

如果您使用的是SAML 2.0，那么您希望使用RelayState。当在步骤2中创建您的AuthN请求时，您将希望确保作为服务提供商的您包括您想要的RelayState。您提供给IDP用于RelayState的值将通过交易执行，并在用户发布到您的ACS @ http://foo.com/user时，在步骤3中作为URL参数返回给您

下面是一个流程示例:

< li >用户打开URL http://foo.com/user/1 < li >会话已过期，因此SP使用身份验证令牌和http://foo.com/user/1的重新延迟状态值将用户重定向到IDP < li>IDP验证用户身份 < li>IDP指示用户向SP ACS @ http://foo.com/sso_callback,发送一个SAMLResponse令牌，还包括一个用于RelayState的附加URL参数 < li>SP在ACS上使用和验证SAMLResponse，如果成功，则将当前活动的会话用户重定向到RelayState参数中包含的值

万一您没有执行SP初始化SSO，而是执行通用重定向到IDP启动的SSO Url，您可以将url参数TargetResources添加到您的IDP启动的SSO重定向中，然后稍后通过SAML响应接收它。