SLO Издаване

Представете си тази схема:

Платформа -- SP1 ----- IdP ----- SP2----- Приложение

Платформата и приложенията са свързани с simpleSAMLphp SP, който също формира федерация с IdP.

Трябва да намерите нормалната функция за излизане от Platffom, app1 и app2 и да я пренапишете:

normal_app_logout() {

 // code of the normal logout
 ....
 ....

 // new code

 require_once('<path-to-ssp>/simplesamlphp/lib/_autoload.php');   //load the _autoload.php
 $auth = new SimpleSAML_Auth_Simple('default-sp');  // or the auth source you using at your SP
 $auth->logout();   <--- call to the SLO 
}

Това ще прекрати локалната сесия, SP сесията, свързана с това приложение, IdP сесията и SP сесиите на SPs, свързани с IdP, но... какво се случва със сесията на другите приложения? Те все още ще бъдат активни. Мислехте за активно повикване, за да го прекратите, но мисля, че е по-добре, ако замените и функцията "is_logged_in()", която много приложения прилагат.

Трябва да замените тази функция и да върнете true само ако съществува и валидна SP сесия, активна с помощта на функцията

$auth->isAuthenticated()

Наскоро внедрих тази функционалност в Wordpess SAML плъгин, проверете код

Проблем с IdP

Използвайте безплатна пробна версия на Onelogin, можете да регистрирате своя SP там и да използвате неговия IdP. Следвайте това ръководство за да конфигурирате вашите SAML конектори

Но мисля, че е по-добре да опитате да създадете IdP сами. Има хубава документация и стъпките са лесни. Използвайте "example-userpass" authsource, ако не искате да губите време за конфигуриране на база данни/ldap.

Също така можете да зададете вашия действителен екземпляр на simplesamlphp като SP & IdP, но мисля, че ако учите simplesamlphp, по-добре не смесвайте.

public function logout()
    {
        $timeNotOnOrAfter = new \DateTime();
        $timeNow = new \DateTime();

        $timeNotOnOrAfter->add(new DateInterval('PT' . 2 . 'M'));

        $context = new \LightSaml\Model\Context\SerializationContext();
        $request = new \LightSaml\Model\Protocol\LogoutRequest();
        $request
            ->setID(\LightSaml\Helper::generateID())
            ->setIssueInstant($timeNow)
            ->setDestination($this->_helper->getSloServiceUrl())
            ->setNotOnOrAfter($timeNotOnOrAfter)
            ->setIssuer(new \LightSaml\Model\Assertion\Issuer($this->_helper->getSpEntityId()));

        $certificate = \LightSaml\Credential\X509Certificate::fromFile($this->_helper->getSpCertFile());
        $privateKey = \LightSaml\Credential\KeyHelper::createPrivateKey($this->_helper->getSpPemFile(), '', true);

        $request->setSignature(new \LightSaml\Model\XmlDSig\SignatureWriter($certificate, $privateKey));

        $serializationContext = new \LightSaml\Model\Context\SerializationContext();

        $request->serialize($serializationContext->getDocument(), $serializationContext);

        $serializationContext->getDocument()->formatOutput = true;
        $xml = $serializationContext->getDocument()->saveXML();


        Mage::log($xml);

        $bindingFactory = new \LightSaml\Binding\BindingFactory();
        $redirectBinding = $bindingFactory->create(\LightSaml\SamlConstants::BINDING_SAML2_HTTP_REDIRECT);

        $messageContext = new \LightSaml\Context\Profile\MessageContext();
        $messageContext->setMessage($request);

        return $redirectBinding->send($messageContext);

    }

Накрая направете:

$httpResponse = $this->logout();
$this->_redirectUrl($httpResponse->getTargetUrl());