如何在向 IDP 发送身份验证请求时将当前 URL 作为中继状态发送

Question

在为我们的一个应用程序实施基于SAML的身份验证时，我遇到了一个要求，即我们需要在通过IdP（身份提供商）身份验证后恢复用户的会话。请考虑以下场景 -

< li >用户试图打开第1页 < li >由于第1页要求验证，我们将用户重定向到IDP < li>IDP验证并将用户重定向回SP(服务提供商)。

不幸的是，在身份验证后，用户最终会进入默认主页而不是第 1 页。根据文档，我们可以使用 relayState 将信息从 SP 中继到 IdP（在身份验证请求期间），然后再从 IdP 中继到 SP。

看起来WebSSOProfileOptions允许我们指定relayState值，但在这种情况下，该值不会是固定的或静态的。

我们如何将当前页面的URL传递到中继状态，以便在身份验证后返回相同的URL并将用户重定向回同一页面？

Answer 1

解决方法:< br > WebSSOProfileOptions类的官方链接演示了在relayState变量中发送自定义值的函数，即void setrelay state(String relay state)。< br >向IDP发送验证请求时将当前URL作为中继状态发送的编码示例

@Bean
 public SAMLEntryPoint samlEntryPoint() {
     SAMLEntryPoint entryPoint = new SAMLEntryPoint();
     entryPoint.setDefaultProfileOptions(defaultWebSSOProfileOptions());
     return entryPoint;
 }
@Bean
 public WebSSOProfileOptions defaultWebSSOProfileOptions() {
     WebSSOProfileOptions options = new WebSSOProfileOptions();
     options .setBinding("urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST");
     options.setRelayState(current-SP-URL);
     return options;
 }

备注：
（1）引用您的帖子“看起来WebSSOProfileOptions允许我们指定relayState值，但在这种情况下，该值不会是固定的或静态的。

回应:< br >是。为什么SP发起的SSO具有作为随机不透明值的RelayState的答案声称SP发起的SSO中的RelayState通常不是URL。相反，它是一个不透明的字符串，得到IDP的回应。< br >这意味着“该值不会是固定的或静态的”。

（2）引用您的问题“我们如何将当前页面的URL传递到中继状态，以便我们可以在身份验证后返回相同的URL并将用户重定向回同一页面？

回答：
为什么SP发起的SSO将RelayState作为随机不透明值的答案声称，根据规范中的上述描述，RelayState只是服务提供商用于找出最终目标的指针（URL）。如果SP使用RelayState将URL发送到IDP，它会破坏安全模型。
这意味着我们不能“将当前页面的URL传递给RelayState”，否则，它将破坏SAML建立的安全模型。
这就是为什么Spring SAML要求SP启动的SSO生成的RelayState值不是固定的或静态的，即“身份验证后用户最终出现在默认主页而不是第1页。”。

（3） 其他信息
（I） 对于 SP 启动的 SSO，RelayState 值应为不透明字符串。
（II） 对于 IdP 启动的 SSO，中继状态值可以是 SP 应重定向到的 URL。这是用于 RelayState 的事实标准，正如另一个 StackOveflow 问题“SSO（例如 SAML）中使用的 RelayState 参数到底是什么？”的回答所证明的那样。
（三）您不能“在向IDP发送认证请求时将当前URL作为中继状态发送”，否则，它将破坏SAML建立的安全模型，如为什么SP启动的SSO将RelayState作为随机不透明值的答案所示。