- Verschickt
- 15. November 2026 um 12:41 UTC
- Autor
- Kamo
- Commit
- 4e85361
oauthserver/saml: SamlIdpCertificates (RSA-2048 selbstsigniert, 10 Jahre, PKCS#8 unter PlatformSecretCipher in org_oidc_settings, erstellt mit der ersten SAML-App, rotate-saml-cert), SamlIdpXml (OpenSAML 4, lazy init; Metadaten, AuthnRequest parse Redirect/POST, Anforderungssignaturen, XXE abgelehnt, signierte Antwort/Assertion RSA-SHA256 exc-c14n, SamlIdpService (SP-Entity-ID -> eine AKTIV-SAML-App von THIS org, nur ACS registriert, AuthnRequest Wiedergabe über Redis INCR abgelehnt, IdP-initiiert nur, wenn die App dies zulässt; die Anforderung übernimmt KoaRequest + ConnectedAppFlow mit dem Marker redirect urn:kamo:saml-idp; NameID EMAIL/PERSISTENT (paarweise, wenn die App)/UNSPECIFIED/TRANSIENT, Attributzuordnung; 2-Minuten-Postspeicher für einmalige Verwendung; SAML_APP_SIGNIN-Audit), SamlIdpController SamlApps (Verbundene Apps saml block, spMetadataXml, DUPLICATE_ENTITY_ID). oidc/AppRequestFinisher: eine Anfrage, deren letzter Schritt kein Code zu einer Weiterleitung ist (ConnectedAppFlow.issue/fail + consent DENY fragt den Finisher; die Zustimmungsansicht trägt ihre Markierung). GrantWriter Das eigene ID3.3 SP von Kamo liest jetzt REFEDS MFA als zwei Faktoren, was die Verwendung von MFA als Zwei-Faktor-Authentifizierung ermöglicht.