重新使用SAML令牌，客戶端用於JSON webservice - 登錄網站後

Question

我正在構建一個使用SAML令牌進行單點登錄的網站。 其中一種形式有很多輸入字段，它們應該觸發相同或其他輸入字段和表格內容的更新和驗證。

驗證和更新處理服務器端。使用WCF JSON Web服務更新表單上的值可觸發通知服務器的JavaScript。 服務然後返回新值和驗證消息。

問題是，網站服務應該安全並且應該授予訪問權限，使用通過登錄到網站發佈給用戶的SAML令牌。

[編輯：更多研究成果] 經過身份驗證後，SAML令牌總是以FedAuth cookie的形式傳遞給服務器。 將標記添加到JSON（或ajax）獲取標題不是必需的。 問題是，我似乎無法讓WIF處理cookie的驗證。所以我從JSON服務中刪除了fedarated認證，並嘗試從HttpContext中讀取cookie。 哪個有效，但我解密不了。

有沒有與此exprerience的人？ 有沒有人有這方面的經驗？

Answer 1

令牌不作爲FedAuth cookie傳遞。這是由網站本身（通過真正的WIF）產生的。令牌通常在IdP中成功驗證後作爲POST進行傳遞。

如果Web服務共同託管在同一個網站中，那麼它就「正常工作」，這要感謝WIF魔術。對這些服務的調用將包括cookie，WIF會高興地解析/驗證它，併爲您提供一個IPrincipal（一個IClaimsPrincipal）。