wso2 spring security saml 無狀態集成

Question

我使用 Wso2 身份服務器 5.11.0 作為 IDP 和 Spring SAML 進行 SAML 集成。 但是在認證之后，spring SAML 將 jsession-id 存儲在客戶端瀏覽器中，使用它進行進一步的通信。 那么，我們如何使集成無狀態，而不是在服務提供者（spring security）中存儲會話。

Answer 1

我假設您試圖避免在客戶端創建會話 cookie。

如果您需要對用戶進行身份驗證，無狀態 Web 應用程序幾乎是不可能的。

如果您不打算在客戶端跟蹤用戶的會話，則必須每次都與身份提供者交談以確保用戶通過身份驗證，這會使用戶體驗變得更糟。

另一種替代方法是將用戶會話 id 附加到瀏覽器發出的每個請求，因此用戶會話將通過該請求參數而不是會話 cookie 來標識。

對於單頁應用程序，后端可以是無狀態的。 盡管如此，UI 仍會在瀏覽器上保持會話。