<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Thu, Mar 10, 2016 at 9:50 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">> I don't see how session tracking would work without server-side storage. I<br>
> have to grab the IdPSession on the back channel in order to add the<br>
> CASSPSession to it. Do you see how that would work?<br>
<br>
Why wouldn't you add the session when the ticket is issued? That's how we do it with SAML, regardless of which binding is used.<br></blockquote><div><br></div><div>That's an option, but one I deliberately avoided in the initial implementation since the service doesn't really start a session until the ticket is validated on the back channel. It wouldn't break the protocol to do it on the front channel, so definitely an option, but it will have storage consequences in practice. It's quite common for tickets to be granted and not validated due to configuration problems and environmental blips.</div><div><br></div><div>M<a href="mailto:users-unsubscribe@shibboleth.net" target="_blank"></a><br>
</div><div><br></div></div></div>