使用 3rd 方应用程序的 Cookie 解密/STS SSO

Question

我有一个通过我构建的 STS 运行的 .NET 4.0 SSO 应用程序。 SSO 在 STS、RP 和我的 SharePoint 应用程序之间运行良好。我有一个需要与我的 STS 集成的第 3 方系统。这将托管在与其他应用程序相同的域中。我认为最简单的方法是将应用程序设置为 STS 的依赖方。但是，该应用程序不是 .NET 应用程序。这个应用程序是用 java 编写的，我们的团队几乎没有控制权。有没有办法给他们用于生成 cookie 的密钥，以便他们可以解密它？如果第 3 方可以获得用户名，他们将对此进行身份验证。

谢谢！

Answer 1

我不建议这样做 -

a) 您需要拥有该 cookie - 这意味着您需要先登录到 WS-Fed RP，然后再登录到您的 Java 应用程序

b) 会话 cookie 的加密和编码是专有的 - 您需要对其进行逆向工程。也不保证内部可能会在服务版本中发生变化。

我宁愿在理解 SAML 令牌并手动执行 WS-Fed 请求的库中进行调查。