SAML身份验证和自定义重定向URL

Question

我们正在研究在我们的应用程序中实施基于SAML的SSO身份验证，我想知道是否可以通过SAML指定自定义重定向URL。换句话说，我们可以在身份提供者中配置一个服务提供者，并让服务提供者通过SAML请求指定身份提供者在登录后应将用户重定向到哪里？

我们之所以要寻找这样的东西，是因为我们的应用程序运行在不同的服务器上，这取决于它们所处的开发阶段（开发、测试、暂存、生产）。如果我们不必为要迁移到SAML SSO的每个应用程序在Identity Provider中配置四个单独的服务提供商条目，那就太好了。

Answer 1

每个SP都有自己的断言消费者服务endpoint，在那里验证SAML响应。

SP执行的检查之一是验证SAMLResponse是否已发送到正确的ACSendpoint，因此您无法在测试服务器上处理为prod服务器生成的SAMLResponse。

如果您决定在一个唯一的SPendpoint中处理所有SAMLResponse，并且您的想法是使用“RelayState”参数指示从SP到IdP在ACS处理SAMLResponse后将用户重定向到何处，那么您可以设置一个所有环境都可读的全局会话，因为没有安全/标准的方法将处理后的数据从发送到最终endpoint。

如果无法将全局会话设置为所有环境都可读，则必须在IdP中注册所有SP。