这个 samlssoTokenId 有什么用？它可以用于刷新 session 并获得新的 SAML 证书吗？

Question

我正在评估 WSO25.0.0，需要基于令牌的访问身份验证和授权

当我使用 Idpurl

向 wso2 发送 SAML 请求时，使用 wso2 5.0.0 Identity Server，使用 SAML2 进行 web sso

https://localhost:9443/samlsso

我从浏览器中发现它有 samlssoTokenId cookie，有一些过期时间 这个 cookie 令牌可以用于获取新的 SAML 证书吗？ 它将进一步用于身份验证和授权。

这个 samlssoTokenId cookie 有什么用可以用来刷新 session?

我给出的场景：

例如我有两个网络应用程序，

用户从 web app1 登录，从 wso2 获取 samlSSOTokenId，

在 Web 应用程序代码中，将此 cookie 令牌存储在 http 授权中 header、

当同一用户请求 web app2 的任何资源时， 使用 samlssoTokenId 授权 header ,

web 应用程序 2 从 wso2 服务器验证此令牌获取新的 SAML 证书，并且

授予用户访问资源的权限。

任何建议

谢谢

Answer 1

smalssoTokenId 是一个 cookie，WSO2 身份服务器 (IS) 使用它来查找用户的 SAML 会话。

此 cookie 由 IS 设置，因此浏览器会在请求到达 IS 时自动将其带到 IS。这意味着，如果用户在 IS 端已经有一个 SAML 会话，当 s/he 尝试访问另一个服务提供商时，此 cookie 将与该 SP 的 SAML 请求一起发送到 IS。然后 IS 可以找到该用户现有的 SAML 会话并提供 SSO。

由于此 cookie 存储在浏览器中，因此不会暴露给网络应用程序。