单点登录：SimpleSAMLPhp服务提供商实现

Question

我正在使用SimpleSAMLPhp服务提供商实现SSO。

我提供了我的元数据远程Shibboleth身份提供者，并提供了一个测试帐户。

当用户访问我的SP上的特定页面时，他们会被重定向到IdP、登录，并使用IdP提供的一组属性重定向回我的网站。这部分工作正常。

这部分我正在努力。

如果用户通过不同的服务提供商使用相同的IdP进行身份验证，然后访问我的页面，我怎么知道他们已经通过身份验证？目前我被要求再次登录。

是否存在允许我执行此操作的配置值？还是我使用了错误的方法？这就是我正在做的。

$as = new SimpleSAML_Auth_Simple({REMOTE_AUTHSOURCE});
$as->requireAuth(); // this redirects to remote IdP login
$attributes = $as->getAttributes();

谢谢

Answer 1

需要考虑两个单独的身份验证会话。一个会话在你的应用程序中，另一个在IdP中。requireAuth方法可以判断用户是否已经在应用程序中拥有经过身份验证的会话，并且在这种情况下会立即返回。您无法判断浏览器是否在IdP上有会话。您只需调用requireAuth，它将用户发送到那里，如果IdP确定用户的会话仍然有效，它将响应而不提示登录。

你是说用户在IdP上有一个有效的会话，当你将用户发送到那里时，会再次提示他们进行身份验证吗？这可能是由于IdP策略，或者如果您的应用程序在其AuthnRequest中发送了类似“forceAuth”的内容。