<div dir="ltr">I am putting together a proof of concept of SAML authentication.<div><br></div><div>I have Shibboleth IdP configured and working with TestShib.</div><div><br></div><div>I have been working with the example app in <a href="https://github.com/onelogin/java-saml">https://github.com/onelogin/java-saml</a> to accept the SAML tokens.  So far I have disabled assertion encryption since their library doesn't support it.</div><div><br></div><div>It has a SAML SP at <a href="http://localhost:8080/index.jsp">http://localhost:8080/index.jsp</a> that redirects to my Shibboleth IdP and receives the SAML token at <a href="http://localhost:8080/consume.jsp">http://localhost:8080/consume.jsp</a>.  The workflow appears to work in the SP redirects correctly to the IdP, the login form appears, I authenticate, and am redirected with a SAML token to <a href="http://localhost:8080/consume.jsp">http://localhost:8080/consume.jsp</a>.</div><div><br></div><div>It almost works but the SAML token has an AudienceRestriction of <a href="http://localhost:8080/index.jsp">http://localhost:8080/index.jsp</a> which is the issuer, not the consumer.  The saml-java SP rejects this.<br></div><div><br></div><div>Is saml-java doing something incorrect?  How do I get Shibboleth IdP to set the AudienceRestriction to <a href="http://localhost:8080/consume.jsp">http://localhost:8080/consume.jsp</a>?</div><div><br></div><div>Thanks,</div><div>Alain</div></div>