<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr" class="gmail_msg"><br><div class="gmail_msg"><br class="gmail_msg"></div><div class="gmail_msg">So the android app needs to present something to the SP like a browser would present cookies.  If the user isn't authn/authz'd currently we'd open a browser, point it at the SP and complete the login flow (<a href="https://wiki.shibboleth.net/confluence/display/CONCEPT/FlowsAndConfig" class="gmail_msg" target="_blank">https://wiki.shibboleth.net/confluence/display/CONCEPT/FlowsAndConfig</a>) but at the end of step 6 we'd issue another 302 to the Intent of the Android or iOS app to get them back into the native application...</div></div><div dir="ltr" class="gmail_msg"><div class="gmail_msg"><br class="gmail_msg"></div><div class="gmail_quote gmail_msg"><div dir="ltr" class="gmail_msg"><br><br></div></div></div></blockquote><div><br></div><div>See my last email.  in your case what you'd probably do is get the assertion, present it to your web service for a cookie then use that.  Also, could go the OAuth2 route and generate a token that could be used as a header instead of a cookie (which i know is a header but it has its own rules around state) </div></div></div>