<div dir="ltr"><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-family:arial,sans-serif;font-size:12.8px"><font color="#351c75">> That's correct if you're accessing attributes retrieved during authentication, but not for regular attributes.</font></span><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-family:arial,sans-serif;font-size:12.8px"><br></span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-family:arial,sans-serif;font-size:12.8px">Do you mean when there is a shib_idp_session cookie which is valid, and user tries to login again ? The </span><font color="#000000"><span style="font-size:12.8px">net.</span><span style="font-size:12.8px">shibboleth.idp.authn.context.</span><span style="font-size:12.8px">AuthenticationContext</span></font><span style="color:rgb(80,0,80);font-size:12.8px"> </span><span style="font-size:12.8px"><font color="#000000">would be 'null' in that case right ? This is the reason for my question about the recommended way to deny without setting the shib_idp_session cookie. Right now, as part of my non-proceed event, I'm explicitly removing the cookie like this ;</font></span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px"><font color="#000000"><br></font></span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px"><font color="#000000"><div class="gmail_default">    <action-state id="RemoveShibSessionCookie"></div><div class="gmail_default">        <evaluate expression="ExpiringPasswordCookieManager.unsetCookie('shib_idp_session')" /></div><div class="gmail_default">        <evaluate expression="ExpiringPasswordCookieManager.unsetCookie('shib_idp_session_ss')" /></div><div class="gmail_default">        <transition to="DisplayIPAPasswordExpiredView" /></div><div class="gmail_default">    </action-state></div><div class="gmail_default"><br></div><div class="gmail_default">This does not look elegant although it does the job. </div><div class="gmail_default"><br></div><div class="gmail_default">Thanks.</div><div class="gmail_default">--Prashant</div></font></span></div></div><div class="gmail_extra"><br><div class="gmail_quote">On 22 July 2016 at 07:02, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 7/21/16, 9:15 PM, "users on behalf of Prashant Bapat" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:prashant@apigee.com">prashant@apigee.com</a>> wrote:<br>
<br>
>    Thanks for the pointers. I'm able to modify the expiring-password intercept flow to my<br>
> needs. Something like below works;<br>
<br>
</span>That's correct if you're accessing attributes retrieved during authentication, but not for regular attributes.<br>
<span class=""><br>
> What is the recommended way to deny user login before/after displaying the respective<br>
> view ?<br>
<br>
</span><a href="https://wiki.shibboleth.net/confluence/display/IDP30/ProfileHandling" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/display/IDP30/ProfileHandling</a><br>
<br>
See Post-Authentication Intercept Contract<br>
<br>
Return a non-proceed event from the flow.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>