SAML 将每个 SP 请求重定向到 IDP 以在 IDP 身份验证成功后检查身份验证？

Question

本文首次展示了SAML认证的流程： https://developers.google.com/google-apps/sso/saml_reference_implementation

我的应用程序目前符合它。但是，当用户单击 SP 提供的页面上的链接时，请求将被重定向到 IDP 进行身份验证。用户可以在地址栏中清楚地看到 IDP URL，感觉很慢。

我的情况： SP 位于 Jetty，IDP 位于 Jboss6.2，它们都在使用相同域名的 Apache 后面。

我正在使用带有 SAML POST 绑定的 picketlink2.6。

我想知道是否：

1. 这就是 SAML 设计的？
2. 我应该停止重定向到 IDP，只检查本地 SP 上的身份验证吗？我觉得这个缺点很明显——当用户在应用 B 中注销时，应用 A 无法知道用户已注销。
3. 如何加快重定向速度？

Answer 1

1. 不，SAML 旨在用于验证初始请求。然后您应该在 SP 应用程序中建立一个会话。这通常由会话身份验证 cookie 完成。
2. 如果您需要，SAML 标准支持单次注销，这将确保注销会终止所有 SP 和 Idp 中的所有会话。
3. 如果它只是第一次出现，则不必这样做。