根据SP启动的SSO流程,用户尝试访问SP。由于用户未经身份验证,因此将被重定向到IDP,用户在其中输入凭据,在成功登录后,IDP会在用户的浏览器(在IDP的域下)设置cookie,并使用SAML响应将用户重定向回SP。一旦SP验证SAML响应,它会创建自己的cookie/token并在用户的浏览器下设置在sp的域中。
随后请求中理想的情况是:
1. SP仅依赖其自身的cookie来获取用户信息 2. SP在每个请求中验证用户会话与IDP
如果建议选项1,那么从安全性角度来看,这样做是否可以接受?因为登录后,SP和IDP之间没有进一步的通信。
如果建议选项2,则每个请求都需要调用IDP,这可能会影响SP的性能。
请建议此处的理想流程。
随后请求中理想的情况是:
1. SP仅依赖其自身的cookie来获取用户信息 2. SP在每个请求中验证用户会话与IDP
如果建议选项1,那么从安全性角度来看,这样做是否可以接受?因为登录后,SP和IDP之间没有进一步的通信。
如果建议选项2,则每个请求都需要调用IDP,这可能会影响SP的性能。
请建议此处的理想流程。