<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On 11 June 2015 at 22:49, Brent Putman <span dir="ltr"><<a href="mailto:putmanb@georgetown.edu" target="_blank">putmanb@georgetown.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
  
    
  
  <div bgcolor="#FFFFFF" text="#000000"><span class="">
    <br>
    <br>
    <div>On 6/11/15 8:37 PM, Alain O'Dea wrote:<br>
    </div>
    <blockquote type="cite">
      <div dir="ltr">
        <div class="gmail_extra">
          <div class="gmail_quote"><br>
            <div>That is extremely helpful Brent.  Thank you.  It seemed
              odd to have a specific page referenced.  Regrettably,
              saml-java explicitly couples the issuer to the
              consumerServiceURL here:</div>
            <div><a href="https://github.com/onelogin/java-saml/blob/4a75209f61e75897a18cde61610efdfd8104b057/src/main/java/com/onelogin/saml/Response.java#L163-165" target="_blank">https://github.com/onelogin/java-saml/blob/4a75209f61e75897a18cde61610efdfd8104b057/src/main/java/com/onelogin/saml/Response.java#L163-165</a></div>
          </div>
        </div>
      </div>
    </blockquote>
    <br></span>
    Yeah, if I'm reading that right, that's simply wrong.  The Assertion
    audiences should be evaluated against the consuming party's
    entityID.  An Audience is not a location or URL.  The protocol
    Destination and SubjectConfirmation should be evaluated against the
    receiving endpoint, but not the Audiences.<span class=""><br>
    <br>
    <br>
    <blockquote type="cite">I don't have a choice about issuer being a
      URL unless I reimplement using OpenSAML.  That is becoming a more
      compelling path now as more gaps in saml-java reveal themselves.</blockquote>
    <br></span>
    Since you mention it: as part of a particular body of work, I've
    just recently checked into OpenSAML 3.x trunk our initial impl of
    components for SAML 2 Assertion validation, which essentially does
    this sort of thing. It will be in the next release.<br>
  </div>

</blockquote></div></div><div class="gmail_extra"><br></div><div class="gmail_extra">Great!  Thank you Brent.  I will check into that.  This is in the early stages so it's good to pick a competent implementation like OpenSAML from day one.</div></div>