
<html>


<head>


<meta http-equiv="Content-Type" content="text/html; charset=utf-8">


</head>


<body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">


<div>


<blockquote type="cite" class="">


<div class="">


<div class="">


<div style="background-color: rgb(255, 255, 255); font-family: 'Courier New', courier, monaco, monospace, sans-serif; font-size: 16px;" class="">


<div dir="ltr" id="yui_3_16_0_ym19_1_1464036376506_2523" class=""><span style="font-family: Verdana, Geneva, Helvetica, Arial, sans-serif; font-size: 13.44px;" id="yui_3_16_0_ym19_1_1464036376506_2553" class="">Works fine when the first SAML response is sent


 to our service, but when the user returns to their application, switches users and sends us a new SAML assertion, their original session seems to persist and the new response is ignored.  This results in the second user utilizing the first user's token.</span></div>


</div>


</div>


</div>


</blockquote>


<div><br class="">


</div>


<div>Do you know what the implementation is?  If it’s Shibboleth IdP v2.x, switching of principals during a single session was never a use case that the IdP was designed for, and it results in the behavior you’ve experienced.  IIRC, it’s down to session management


 and result caching, but I don’t really recall.</div>


<div><br class="">


</div>


<div>The same question came up for IdPv3 recently.</div>


</div>


<br class="">


<div class=""><a href="http://comments.gmane.org/gmane.comp.web.shibboleth.user/46927" class="">http://comments.gmane.org/gmane.comp.web.shibboleth.user/46927</a></div>


</body>


</html>