<div dir="ltr">Thanks for the answers,<div>yes, currently I'm using Apache config.</div><div>This scenario is tricking me: a user logs in as a non-admin account to /<span style="font-size:12.8px">account, then if he moves to /admin a </span>403 Forbidden error is generated (as expected).</div><div>In the latter case I need to remove the sp session and trigger a new authentication for /<span style="font-size:12.8px">account which will allow the user to access the resource... but how to do that </span>without using flushSession?</div><div>I know I can set a custom 403 page through Apache ErrorDocument, but can I remove sp session from there, then redirect back to the forbidden location to trigger a new authn request?</div></div><div class="gmail_extra"><br><div class="gmail_quote">2016-10-14 15:26 GMT+02:00 Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* SAMUELE RILLI <<a href="mailto:samuele.rilli@unicam.it">samuele.rilli@unicam.it</a>> [2016-10-14 11:13]:<br>
<span class="">> I set up a Shibboleth SP 2.5.4.<br>
> I need to protect some sp locations by doing attribute checking (and<br>
> eventually removing the session), but I need to check different attributes<br>
> and different values according to specific sp locations.<br>
> For example, /account location may be accessed by any logged user, but<br>
> /admin must be accessed only by a logged user with specific attribute(s).<br>
><br>
> However, as far as I can understand, AttributeChecker handler and<br>
> sessionHook allow me to remove the session with flushSession, but they<br>
> always check all the attributes no matter the location.<br>
> Is it possible to specify different rules for different locations<br>
> with AttributeChecker? Alternatively, a custom sessionHook could enable me<br>
> to do that?<br>
<br>
</span>You'd use "ordinary" access control in the web server instead<br>
of the AttributeChecker, so <Location /account> would have the usual<br>
require directives, /admin would have additional restrictions, etc.<br>
<span class="HOEnZb"><font color="#888888">-peter<br>
</font></span><div class="HOEnZb"><div class="h5">--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>