<div dir="ltr"><div>Hello,</div><div>we need to know if a third-party application we're interested in can be shibbolized.</div><div>It's a 2-tier application (currently based on Oauth2):</div><div>- Tier 1: a light web application (javascript on the browser)</div><div>  performs authentication, receives an "access token" and passes</div><div>  it to the web server.</div><div>- Tier 2: the web server receives the access token from the browser,</div><div>  uses it to access data, does some computation on it, and gives it back</div><div>  to the browser for rendering.</div><div>Can shibboleth do the same decoupling? I mean: can the browser</div><div>perform authentication, receive from the IdP a token (instead of</div><div>attributes), pass it to another server which can then use it to retreive</div><div>attributes from the IdP?</div><div><br></div><div>Thanks for your help,</div><div>Stefano</div></div>