- Enviado
- 15 de noviembre de 2026 a las 12:41 UTC
- Autor
- Kamo
- Commit
- 4e85361
oauthserver/saml: SamlIdpCertificates (RSA-2048 autofirmado, 10 años, PKCS#8 bajo PlatformSecretCipher en org_oidc_settings, hecho con la primera aplicación SAML, rotate-saml-cert), SamlIdpXml (OpenSAML 4, lazy init; metadatos, AuthnRequest parse Redirección/POST, firmas de solicitud, XXE rechazado, respuesta/aserción firmada RSA-SHA256 exc-c14n, SamlIdpService (SP entity id -> una aplicación SAML ACTIVA de THIS org, registrada solo en ACS, AuthnRequest Replay rechazado a través de Redis INCR, iniciado por IdP solo cuando la aplicación lo permite; la solicitud se ejecuta en KoaRequest + ConnectedAppFlow con el marcador de redirección urn:kamo:saml-idp; NameID EMAIL/PERSISTENT (en pares cuando la aplicación es)/UNSPECIFIED/TRANSIENT, Asignación de atributos; almacén de mensajes de un solo uso de 2 minutos; auditoría de SAML_APP_SIGNIN), SamlIdpController **************** SamlApps (bloque de aplicaciones conectadas saml, oidc/AppRequestFinisher: una solicitud cuyo último paso no es un código para una redirección (ConnectedAppFlow.issue/fail + consent DENY pregunta al finalizador; la vista de consentimiento lleva su marcador). GrantWriter El propio ID3.3 SP de Kamo ahora lee REFEDS MFA como dos factores, lo que permite a los usuarios acceder a la aplicación de forma segura.