受SAML保护的资源

Question

我正在尝试使用SAML保护资源。有三个参与者在起作用：身份提供者（IDP，在我的控制范围之外）、服务提供者（SP，我碰巧在使用spring security saml，但这个问题并不特定于此），以及受保护的资源（PR，SP之外服务中的某个受保护endpoint）。

我需要支持两种场景：

1. 用户第一次尝试访问PR，没有任何会话

对于场景1应该如何工作，有足够的指导，因为根据我所看到的，这是使用SAML的标准方法。虽然场景2似乎不太标准，但我还没有找到任何关于如何处理它的明确文档。

在场景1中，流程似乎是标准的：

• 用户尝试访问PR

我不太清楚的是场景2，我的想法如下：

• 用户尝试使用前一场景中提供的令牌访问PR
• PR使用SP检查令牌的有效性
• SP确定令牌是否有效（如何做到这一点？SAML标准中似乎没有任何内容可用于检查会话是否处于活动状态）
• PR允许根据SP的响应访问资源

我的问题是：

• 我对场景2的理解是否正确？这就是SAML的用途吗
• 我如何与IDP检查会话的有效性
• PR是否必须在每次请求时检查会话的有效性？由于SAML不需要过期（如OAuth访问令牌），因此似乎没有任何方法可以缓存用户的会话

Answer 1

访问PR有两个条件。

1. PR在需要续订之前的指定时间内创建的有效应用程序会话

PR可以认为，只要SAML令牌有效，那么应用程序会话就有效。或者它可以决定每10分钟创建一个新会话，这意味着重定向到IdP以获取新的SAML令牌，新的应用程序会话将基于该令牌。这取决于所保护的资源。在敏感资源（可能是医疗数据）中，应相应地管理会话。

就SAML令牌有效性而言，IdP使用示例中所示的响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/条件/不早于响应/代码>在设定的时间段内发布令牌。还可以使用响应/授权声明/会话NONONOROAFTER来检查有效性。这是：

获取或设置由主题标识的主体与发出此语句的SAML机构之间的会话必须被视为结束的时间瞬间

从这里开始。这有效地限制了PR会话，因为IdP在此之后“拒绝”用户。e、 g.公共步入式访问请求需要一小时的PR访问权。NotOnOrAfter指的是断言，而SessionNotOnOrAfter指的是用户。根据策略等，IdP可能不会对用户进行身份验证。

如果PR需要更新应用程序会话，它可以要求SP验证SAML令牌，这可能涉及确定NotOnOrAfter是否已经过去。如果是，那么SP将再次与IdP启动该过程以获取新的SAML令牌。如果IdP正在处理敏感的PR，它可能会在有限的时间内释放属性，这取决于在其末尾授予访问权限的方式。