当SLO配置文件未启用时，SAML LogoutRequest的用法是什么？

Question

单一注销（SLO）下的SAML核心（SAML-Core-2.0-os:3.7.1）和SAML配置文件（SAML-Profiles-2.0-os:4.4.3.1）规范中提到了“LogoutRequest”。SLO需要“sessionIndex”才能工作，否则无法映射会话参与者。然而，根据核心规范，sessionIndex是一个可选元素。因此，这意味着即使SLO配置文件未启用/不受支持，也可以发送LogoutRequests。

是的，我知道SAML可以用于许多安全用途——不仅仅是单点登录。但是，在SAML单点登录场景中，如果没有启用SLO，似乎只要向身份提供者（IdP）注销endpoint发送任何请求（除了SAML LogoutRequest）就足以使这个会话无效。如果我没记错的话，销售力量和谷歌应用就是这样做的。

在这种场景中涉及SAML LogoutRequest似乎是一种处理浪费。有人可能会争辩说，使用签名登录请求可以确保请求由受信任方发送，但实际上，网络罪犯只想登录，而不是注销。

但是，一些SAML SSO提供程序在非SLO场景中支持LogoutRequest。这有什么有用性？

Answer 1

如果SLO是使用重定向完成的，那么可以说不需要LogoutRequest，但是确定SLO请求是由使用签名的受欺骗方发送的是一个很好的做法。如果你不需要，允许你不信任的方采取行动是个坏主意。

在同步SOAP用于SLO的情况下。需要该请求来标识具有essionindex的会话。

但是，一些SAML SSO提供程序在非SLO场景中支持LogoutRequest。这有什么有用性？

您的意思是提供者发出会话索引属性吗？会话索引不仅用于SLO请求，还用于身份验证。但我认为大多数提供者之所以包括这个，只是因为他们支持SLO，并默认生成这个sessionindex。即使接收方不使用它。