<div dir="ltr">We have a developer working in .NET Core on Linux.  There is no SAML implementation for .NET Core, so they're looking at putting their application behind Apache HTTPd. .NET Core apparently also can't get information from the web server environment, so they'd like to pull it from headers.<div><br></div><div>The Apache SP docs strongly recommend against enabling ShibUseHeaders.  The wiki page on spoof checking says:</div><div><br></div><div>    Under no circumstances should you rely on the request header</div><div>    option other than as a temporary measure while adjusting applications</div><div>    to use the environment option.<br></div><div><br></div><div>The same entry says that the only way to really get attribute information into IIS is via headers:</div><div><br></div><div><span style="color:rgb(51,51,51);font-family:arial,sans-serif;font-size:14px">    The ISAPI filter API does not appear to support the creation</span></div><div><span style="color:rgb(51,51,51);font-family:arial,sans-serif;font-size:14px">    of environment variables, so request headers are used out of </span></div><div><span style="color:rgb(51,51,51);font-family:arial,sans-serif;font-size:14px">    necessity as a portable communication channel to applications.</span><br></div><div><span style="color:rgb(51,51,51);font-family:arial,sans-serif;font-size:14px"><br></span></div><div>But the IIS SP config page does not include warnings about the insecurity of passing attribute information via headers.</div><div><br></div><div>If headers + spoof checking is as insecure as the spoof checking article suggests, should we not use the IIS module for sensitive applications?</div><div><br></div><div>Liam</div></div>