android - 在移动应用上存储 SAML 断言并将它们用于用户会话

Question

尝试在移动应用程序中设置 SSO 的流程。这是流程

• SP 资源 URL 呈现给 CustomChromeTabs (Android)
• SP 重定向到 IDP 进行身份验证
• IDP 显示登录屏幕
• 用户添加凭据并提交回 IDP
• IDP 检查凭据并将 SAML 断言发送回 SP
• SP 处理响应并因为它信任 IDP，将 SAML 断言转换为访问令牌
• SP 将令牌重定向回移动应用程序。CustomChromeTab 将其存储在 cookie 中以供进一步的资源请求

问题

• 由于安全问题，不建议将访问令牌存储在 cookie 中

解决方案

1. 将加密的 SAML 断言存储在安全的 android 密钥库系统中

问题

1. 是否可以在客户端（此处为移动应用程序）存储 SAML 断言并稍后使用它们从 SP 获取访问令牌？
2. 这些 SAML 断言的到期如何工作？

标签： androidsaml