<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Tue, Apr 12, 2016 at 10:52 AM O'Dowd, Josh <<a href="mailto:Josh.O%27Dowd@mso.umt.edu">Josh.O'Dowd@mso.umt.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Does a 'return' parameter in the logout URL seem a prudent enhancement , since the NativeSP has that functionality and Jasig CAS offers that capability as well?<br></blockquote><div><br></div><div>I'm not in favor of it. The return parameter was never specified in the CAS protocol v2 spec, and its introduction into the Jasig CAS server was (to me) a curious addition. I'm unaware of the use cases that drove its creation, but I am aware that it was the source of at least one security issue (XSS vector). Maybe if you could articulate the value I'd be more willing, but I just don't understand what value it provides.</div><div><br></div><div>M<a href="mailto:users-unsubscribe@shibboleth.net" target="_blank"></a><br>
</div><div><br></div></div></div>