<div dir="ltr">Thanks a lot guys,<div><br></div><div>If I were to try and modify the enctype value, in the HTML form.. can that be done on per SP ? </div><div><br></div><div>Thanks,</div><div>Mohamed.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Sun, Mar 26, 2017 at 9:59 AM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On Sat, Mar 25, 2017 at 8:10 PM, Mohamed Lrhazi <<a href="mailto:lrhazi@cua.edu">lrhazi@cua.edu</a>> wrote:<br>
><br>
> I can see that the Post is indeed URL encoded :<br>
><br>
> Content-Type: application/x-www-form-<wbr>urlencoded<br>
<br>
</span>On the wire, does the <form> element have an @enctype HTML attribute?<br>
If not, it's default value is "application/x-www-form-<wbr>urlencoded" by<br>
definition (of the HTML spec, not the SAML spec).<br>
<span class=""><br>
> I think this is what this SP is complaining about... but is this not<br>
> expected behavior?<br>
<br>
</span>Yes, this is expected behavior. The SAML spec is silent about the<br>
form/@enctype attribute. The browser may use any value it wants. For<br>
POST, the default is "application/x-www-form-<wbr>urlencoded" so that's<br>
what you'll get unless the @enctype HTML attribute is present on the<br>
<form> element.<br>
<span class="HOEnZb"><font color="#888888"><br>
Tom<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
> On Sat, Mar 25, 2017 at 7:12 PM, Brent Putman <<a href="mailto:putmanb@georgetown.edu">putmanb@georgetown.edu</a>><br>
> wrote:<br>
>><br>
>> Hi Mohamed!<br>
>><br>
>><br>
>> an SP tells me that I ought to be able to POST the SAMLResposne, without<br>
>> URLEncoding it...<br>
>><br>
>> Googling around I can't see how I can influence how the browser performs<br>
>> the POST.. Is there a way to do this in shibboleth 3.3.1.<br>
>><br>
>><br>
>> I don't think the Shib IdP is actually encoding (neither URL encoding nor<br>
>> HTML form encoding) the SAMLRequest/SAMLResponse parameter in the POST<br>
>> binding implementation.  Why do they think we are?  Do you have a sample<br>
>> message or something from them that demonstrates?   I just looked both at<br>
>> the binding impl code + Velocity template, as well as an actual test message<br>
>> exchange flowing through my browser, and I don't see it.<br>
>><br>
>> Maybe I'm missing something here, and Scott will remind me.<br>
>><br>
>><br>
>> Quoting the SP:<br>
>><br>
>> > It doesn't make any sense to post FORM data which is also base64 encoded<br>
>> > with URL encoding on top of it. All SSO providers sends pure base64 encoded<br>
>> > SAMLResponse and I'm sure the one you are using do have this capability.<br>
>><br>
>><br>
>> Well, in general, what "makes sense" (or not) to the SP vendor is kind of<br>
>> irrelevant.  What matters is what the spec says:<br>
>><br>
>> Note that any form control values included MUST be transformed so as to be<br>
>> safe to include in the<br>
>> XHTML document. This includes transforming characters such as quotes into<br>
>> HTML entities, etc.<br>
>><br>
>><br>
>><br>
>> We clearly are obligated to make sure the HTML is safe against XSS, etc,<br>
>> and so we do currently HTML form encode the form's action URI and RelayState<br>
>> parameter in the POST binding.  But we don't do anything that I can see to<br>
>> the SAMLRequest/SAMLResponse param.  Since it's Base64-encoded, it's already<br>
>> "safe" - the only possible non-alphanumerics would be '+', '/' and '='.  So<br>
>> I think we're already conceptually in agreement with what the SP is saying,<br>
>> at least via-a-vis the response message param.<br>
>><br>
>> So I just don't know what they are seeing here.  We'd need more specific<br>
>> details from them.<br>
>><br>
>><br>
>> --<br>
>> To unsubscribe from this list send an email to<br>
>> <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
><br>
><br>
><br>
> --<br>
> To unsubscribe from this list send an email to<br>
> <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>