靜默 SAML 身份驗證？

Question

我正在嘗試使用 SAML 協議對用戶進行身份驗證。 到目前為止，我在兩個不同的身份提供者（Auth0 和 OneLogin）中有兩個應用程序要測試。 我也有我的服務提供商。 我想要做的是驗證用戶而不將他們重定向到任何身份提供者登錄表單。 像這樣的東西：

1. 用戶嘗試登錄我的應用程序（在 React 中制作）
2. 我的服務器提供商接收用戶發出的請求，並使用 SAML 協議將憑據（用戶名和密碼）發送給身份提供商。
3. 身份提供者驗證憑據，如果它們正確，則向我的服務器提供者返回 SAML 斷言； 否則，它將返回錯誤。
4. 內容是否發送給用戶取決於身份提供者的響應。

我知道這不是 SAML 的預期用途，但我想知道是否有辦法做到這一點以及如何實現。

---

任何幫助或建議都會受到歡迎，謝謝。

Answer 1

這不是 SAML 的工作方式，我不知道任何接受用戶名和密碼的 SAML 身份提供者。

可以在發送給身份提供者的 SAML 身份驗證請求中包含用戶名，但沒有規定包含密碼。

我認為，如果您要提示用戶輸入另一個網站（即服務提供商）上的一個網站（即身份提供者）的憑據，則需要考慮許多安全因素。

使用 SAML SSO，如果用戶尚未在身份提供商處進行身份驗證，它將提示用戶登錄。