- Expédié
- 15 novembre 2026 à 12:41 UTC
- Auteur
- Kamo
- Commit
- 4e85361
oauthserver/saml: SamlIdpCertificates (RSA-2048 auto-signé, 10 ans, PKCS#8 sous PlatformSecretCipher dans org_oidc_settings, créé avec la première application SAML, rotate-saml-cert), SamlIdpXml (OpenSAML 4, lazy init; métadonnées, AuthnRequest parse Redirect/POST, signatures de requête, XXE refusé, réponse/affirmation signée RSA-SHA256 exc-c14n, SamlIdpService (SP entity id -> une application SAML ACTIVE de THIS org, enregistrée ACS uniquement, AuthnRequest Replay refusé via Redis INCR, initié par IdP uniquement lorsque l'application le permet ; la requête utilise KoaRequest + ConnectedAppFlow avec le marqueur de redirection urn:kamo:saml-idp; NameID EMAIL/PERSISTENT (par paires lorsque l'application est)/UNSPECIFIED/TRANSIENT, Mapping d'attributs; magasin de messages de 2 minutes à usage unique; audit SAML_APP_SIGNIN), SamlIdpController **************** SamlApps (Apps connectées saml bloc, oidc/AppRequestFinisher: une requête dont la dernière étape n'est pas un code vers une redirection (ConnectedAppFlow.issue/fail + consent DENY demande au finisseur ; la vue de consentement porte son marqueur). GrantWriter Le SP ID3.3 de Kamo lit désormais REFEDS MFA en tant que deux facteurs.