<div dir="ltr">I can handle that in my application, and redirect them to shibboleth logout url.<br><br>will redirecting to this url work, if its logged in with the wrong level?<br> <a href="https://yoursite.com/Shibboleth.sso/Logout?return=https://yoursite.com/highsecurity">https://yoursite.com/Shibboleth.sso/Logout?return=https://yoursite.com/highsecurity</a><div><br></div><div><br></div><div><br><div><div class="gmail_quote"><div dir="ltr">On Mon, Jun 1, 2015 at 10:58 AM Peter Schober <<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Idar Borlaug <<a href="mailto:idar.borlaug@gmail.com" target="_blank">idar.borlaug@gmail.com</a>> [2015-06-01 10:48]:<br>
> I have full control over the page returned if the wrong login is used, i<br>
> check the attributes in my application.<br>
><br>
> Would a javascript redirect to logout url with redirect to the same page be<br>
> a good solution?<br>
> 403 page -> redirect to shibboleth.logout?url= same url<br>
<br>
I don't see how your JavaScript code would have access to the fact<br>
that the requested authnContextClass was not in the SAML respons, but<br>
that's your problem if you want to make this into a browser scripting<br>
issue.<br>
More importantly this would only change the second ("future") part of<br>
your issue, not the one you asked about: Anyone coming to the<br>
protected resource with a valid session for that Shib SP and path<br>
(e.g. from accessing other content first, or from IDP-initated SSO)<br>
would not run into a HTTP 403.<br>
-peter<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div></div></div></div><div dir="ltr">-- <br></div><div dir="ltr">Idar Borlaug<div><br></div></div>