我没有收到这种 SAML 请求

Question

在我的工作中，有一个 SAML 身份验证器提供程序。出于好奇，我打开浏览器的 devTools 以在身份验证期间遵循 saml 序列。期待类似的东西：

• 服务器向我发送了一个 SAML 请求并且是证书。
• 我的浏览器问我他应该使用什么证书来验证我。
• 我的浏览器向服务器发送信息。
• 服务器认出了我并向我发送了一个令牌以允许访问服务。

但事实与我的预期略有不同。事实上，根据我的网络浏览器：

• 服务器使用包含一些参数的 GET 请求将我重定向到 SAML 身份验证服务器： SAML Before cert selected

• 我的浏览器问我他应该使用什么证书。

• 我的浏览器更改了我上面的请求 header 并得到了服务器的响应，服务器将我重定向到我的服务。我现在确定了： SAML After cert selected

所以这里有一些问题:

• 1 : 服务器如何在没有收到关于我的信息的情况下对我进行身份验证？
• 2 : 我的浏览器对他 select 的证书做了什么？
• 3 : SAMLRequest 和 RelayState 参数是什么？
• 4 : 为什么在 select 之前我的请求有一个 "provisional headers" 然后他在得到任何响应之前得到一个令牌？

希望大家能回答我的问题

提前致谢，

此致

Answer 1

一般来说，在 SAML 的情况下，IdP 会向 SP 发送关于经过身份验证的用户的断言。

如何在 IdP 处进行实际身份验证超出了范围。

大约 1/2：当您访问 IdP 时，它可能被配置为使用 'TLS client auth' 执行 'auto-login'。由于您的浏览器参与 'TLS client auth'，IdP 了解您（或更好地了解所提供的证书）。

关于 3：SAMLRequest 请求参数是压缩编码的 SAML AuthnRequest，因为使用了 HTTP 重定向绑定...请检查 SAMLv2 规范。 RelayState 请求参数包含目标 URL SP 将在成功 'SP-initaited SSO' 流后重定向到。