无提示SAML身份验证？

Question

我正在尝试使用SAML协议对用户进行身份验证。到目前为止，我在两个不同的身份提供者（Auth0和OneLogin）中有两个应用程序来测试。我也有我的服务提供商。我要做的是验证用户，而不将其重定向到任何身份提供商登录表单。像这样的东西：

1. 用户尝试登录我的应用程序（在React中制作）
2. 我的服务器提供商收到用户提出的请求，并使用SAML协议将凭据（用户名和密码）发送给身份提供商。
3. 身份提供者验证凭证，如果它们是正确的，则将SAML断言返回给我的服务器提供者;否则，它将返回错误。
4. 如果内容发送给用户，则取决于身份提供者的响应。

我知道这不是SAML的预期用途，但我想知道是否有办法实现它以及如何实现。

---

任何帮助或建议都会很受欢迎，谢谢。

Answer 1

这不是SAML的工作方式，我不知道任何接受用户名和密码的SAML身份提供商。

可以在发送给身份提供商的SAML authn请求中包含用户名，但是没有包含密码的规定。

我认为，如果要在不同的网站（即服务提供商）上提示用户提供其一个网站（即身份提供商）的凭据，则需要考虑许多安全因素。

使用SAML SSO，如果用户尚未在身份提供商处进行身份验证，则会提示用户登录。