SAMLトークンを再利用する、JSON Webサービスのクライアント側 - ウェブサイトにログインした後

Question

シングルサインオン用のSAMLトークンを使用して保護されているWebサイトを構築しています。 フォームの1つに多くの入力フィールドがあり、同じまたは他の入力フィールドとテーブルの内容の更新と検証が行われます。

検証と更新はサーバー側で処理されます。フォームのa値を更新すると、WCF JSON Webサービスを使用してサーバーに通知するjavascriptがトリガーされます。 サービスは新しい値と検証メッセージを返します。

問題は、Webサイトにログオンしてユーザーに発行されたSAMLトークンを使用して、Webサーバーを保護し、アクセスを許可する必要があることです。

認証後、SAMLトークンは常にFedAuth Cookieの形式でサーバーに渡されます。 JSON（またはajax）Getヘッダーにトークンを追加する必要はありません。 問題は、WIFがクッキーの検証を処理するように見えないことです。そこでJSONサービスから連合認証を削除し、HttpContextからCookieを読み込もうとします。 これは動作しますが、復号化できません。

これに臨場感ある人はいますか？ これには経験がある人はいますか？

Answer 1

トークンはFedAuth Cookieとして渡されません。それはウェブサイト自体（WIFによって実際に）によって生成されます。トークンは、通常、IdPでの正常な認証時にPOSTとして渡されます。

ウェブサービスが同じウェブサイトで共催されている場合、WIFの魔法のおかげで「うまくいく」ということになります。サービスへの呼び出しにはクッキーが含まれ、WIFは幸せにそれを解析/検証し、IPrincipal（IClaimsPrincipal）を提供します。