<div dir="ltr">All you need is up to you,  you should not need to send the password, that would be a Bad Thing in the Ghostbusters sense of the word.  You should, at a minimum, need whatever the REST API needs to enforce RBAC.  So, if you need the username for that, you'll need to send that.  I can't imagine you need to send much more than that.  Again, as Jim said, REST API trusts your web site completely, so your web site should just send it the username as part of the request for a session "cookie" token.  Your REST API security model then uses whatever RBAC/etc. it's using based on the identity mapped to the session.<br><div><br></div><div>Nick</div></div><br><div class="gmail_quote"><div dir="ltr">On Thu, May 28, 2015 at 4:07 PM Luke Palnau <<a href="mailto:lpalnau@umich.edu">lpalnau@umich.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">Ah, that sounds familiar, what user info would be given to the rest-api's token endpoint? Username? Anything else?<div><br></div><div>The OAUTH2 examples I've seen send username, password, and grant type to a token endpoint. But since siteA uses shib I don't have a password. Unless I'm misunderstanding this.<br clear="all"><div><div><div><br></div><div>-Luke</div><div><a value="+17346042271">734.604.2271</a></div></div></div>
</div></div>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div>