Могу ли я настроить ReturnUrl при выходе из системы в SustainSys-Saml2?

Question

Я установил SLO с sustainsys-saml2 для MVC-проекта, и он, кажется, работает, но проблема в том, что мы возвращаемся к точке входа после выхода из системы. В моем dev-environment я использую stubidp из sustainsys, и я получу стартовый экран для stubidp сразу после выхода из системы, и это нормально, но в тестовой среде с ADFS как idp он автоматически войдет в систему снова.

Я протестировал выход из системы, добавив /AuthServices/Logout?ReturnUrl=/status (страница статуса не требует входа в систему), и, похоже, это работает, поскольку я попаду на страницу статуса. Если бы я вместо этого установил http://www.google.se как ReturnUrl, это не работает. Поэтому у меня вопрос: можно ли настроить то, что отправляется в ReturnUrl для выхода из системы WebConfig, и всегда ли оно должно соответствовать URL моих приложений?

С уважением Eric

Answer 1

По умолчанию разрешены только локальные URL-адреса, чтобы остановить атаки открытого перенаправления.

Если вы хотите разрешить определенный удаленный URL-адрес, вы можете реализовать уведомление ValidateAbsoluteReturnUrl, чтобы возвращать true для URL-адресов в белом списке. Не «исправляйте», просто возвращая true за что угодно - это приведет к уязвимости открытого перенаправления.