SAML：即使用户有 IDP 会话，是否也可以强制用户完成登录过程

Question

在 SAML 中，是否可以强制用户每次都执行 idp 登录过程，即使用户有活动的 idp 会话？

在这里举一个具体的例子：让我们将我的应用程序称为“SP”，我使用 SSOCirecle 作为 idp，并使用 POST 和重定向（SP 发起）。

为了进行测试，我将首先登录 SSOCircle 以获取活动的 idp 会话。然后当我尝试访问 SP 时，我应该被重定向到 idp。

通常，由于我已经有一个活动的 idp 会话，idp 会看到“哦，您之前已经通过了身份验证，您可以直接转到 SP！”

但我不希望这样，我希望 idp 强制用​​户每次都输入凭据，也许可以通过其中之一（我猜）

1. 忽略活动的 IDP 会话
2. 不要创建 IDP 会话

我想知道这是否可行。

Answer 1

是的，SP 可以ForceAuthn在 AuthnRequest 中向 Idp 发送一个标志，要求进行新的身份验证，而不是重用现有会话。

与 SAML2 一样，您不能指望所有 Idp 都支持所有内容。您必须测试您的 Idp 是否支持该ForceAuthn标志。