PHP SAML IdP 优先答案

【问题标题】：PHP SAML IdP FirstPHP SAML IdP 优先
【发布时间】：2015-07-09 19:37:08
【问题描述】：

我正在尝试在 PHP 中创建客户端门户 (IdP)。

该门户链接到多个 SP（如 Magento、Google Analytics 和 Wordpress）

看看这需要如何工作，我的 IdP 需要启动身份验证。单击指向 SP 的链接时，需要启动身份验证。
因此，它需要 IdP 优先应用程序。我尝试使用 SimpleSAML 进行设置，唯一的问题是 simpleSAML 网站上的初始解释对我来说不够清楚 (https://simplesamlphp.org/docs/stable/simplesamlphp-idp) 有人可以先给我一些关于 IdP 的更好或更深入的解释吗？

这是一个新的客户门户，但客户已经拥有上述网站和其他网站的帐户，有时超过 1 个帐户。是否可以不亲自连接这些帐户，而是让客户连接它们？

如果有比 SAML 更好的解决方案来解决这个问题，请毫不犹豫地提及它们

【问题讨论】：

深入解释什么？一般设置 IDP？
关于 IDP 发起。对于这种情况，我总是建议使用 SP 发起的 SAML。在这种情况下，您将只有一个指向 SP 的链接，SP 看到用户未通过身份验证并使用 IDP 开始身份验证
所以用户去 google -> google 看到他没有经过身份验证 -> 开始使用我的 IdP 进行身份验证？回答第一个问题：设置 IdP 第一门户
是的 sp 发起是我推荐的。它易于实现和 idp 发起，但存在一些问题，如 csrf、深度链接和不可操作问题
你不启动它，SP在用户发送的页面上识别出需要auth并启动auth

标签： php wordpress saml portal simplesamlphp

【解决方案1】：

4.5 IdP 发起的登录

如果您使用 simpleSAMLphp IdP，并且希望用户能够为登录页面添加书签，则需要测试 IdP 发起的登录。要从 simpleSAMLphp IdP 测试 IdP 发起的登录，您可以访问：

https://.../simplesaml/saml2/idp/SSOService.php?spentityid=<entity ID of your SP>&RelayState=<URL the user should be sent to after login>

请注意，仅当 IdP 运行 1.5 版的 simpleSAMLphp 时才支持 RelayState 参数。如果 IdP 不支持，则需要在身份验证源配置中配置 RelayState 选项。

至于帐户链接，我的理解是 simple 不会这样做（它已经脱离了 simple 领域）。要使用它，您必须清理帐户。

[edit]实际上，我想你可以——尽管你必须建立一个结构来做到这一点。您需要以某种方式构建从公司 ID 到 Wordpress、Google 等的 SP 帐户的帐户映射。

【讨论】：

我想大多数商业产品都会有这个功能——我知道 PingFederate 有。我不确定 Okta 或 OneLogin。