<div dir="ltr"><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif">When I enabled the intercept flow with a non-proceed event, the user is displayed a "access denied" view. This also sets the shib_idp_session cookie. If the user were to visit the IdP page again, it does not show the login page instead throws an error. I'm assuming this is because the browser sends the shib_idp_session cookie and IdP tries to get the authenticationContext which will be "null" because no login page was displayed and hence no authentication took place. </div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif">If I remove the shib_idp_session cookie manually from the browser or from the flow like I said before, the user is shown the login page which is the correct behavior. </div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif">Hope I'm making sense. </div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><font color="#674ea7">> <span style="font-size:12.8px;font-family:arial,sans-serif">Do NOT do that. You have no business doing it, and you cannot depend on anything like that.</span></font></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px;font-family:arial,sans-serif"><br></span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px;font-family:arial,sans-serif">I got that part. It does not look right. </span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px;font-family:arial,sans-serif"><br></span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px;font-family:arial,sans-serif">Thanks.</span></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif"><span style="font-size:12.8px;font-family:arial,sans-serif">--Prashant</span></div><div class="" style="font-size:12.8px"></div></div><div class="gmail_extra"><br><div class="gmail_quote">On 22 July 2016 at 20:11, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> Do you mean when there is a shib_idp_session cookie which is valid, and<br>
> user tries to login again ?<br>
<br>
</span>I don't know what you're asking. I'm saying attribute resolution is a totally separate step and populates a different context. Attributes during authentication is a special feature of the LDAP option and is what you're using.<br>
<span class=""><br>
> that case right ? This is the reason for my question about the recommended<br>
> way to deny without setting the shib_idp_session cookie. Right now, as part<br>
> of my non-proceed event, I'm explicitly removing the cookie like this ;<br>
<br>
</span>Do NOT do that. You have no business doing it, and you cannot depend on anything like that.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>