与 isPassive 的 HTTP-Post 绑定

Question

我的问题非常类似于：How should I be implementing the HTTP POST Protocol Binding for SAML WebSSO Profile?

但我无法在其中找到正确的答案。是否可以通过将isPassive 设置为 true 的 HTTP-Post 绑定发送请求。 Oasis 规范规定 IdP 不得“明显地”控制用户界面。因此，IdP 必须以某种方式了解用户。

如果用户已经在 SP 端的会话中处于活动状态，我如何将该信息传递给 IdP 并让他们重新对用户进行身份验证？

我要验证用户，不妨碍用户的流量……

Answer 1

有几种常用方法可以通过 IsPassive=true 重新验证用户。例如，集成 Windows 身份验证 (Kerberos) 和基于 x509 证书的身份验证都可以在不考虑用户体验的情况下完成。

如果您在 AuthnRequest 中结合了 ForceAuthn=true 和 IsPassive=true，它应该强制 IDP 重新对用户进行身份验证如果这两个条件都可以满足。