<div dir="ltr"><div>We're using two authn handlers based on RemoteUser - RemoteUserPlus (which supports forceAuthn and isPassive), and RemoteUserToken (which supports MFA).</div><div><br></div><div>Each of these handlers has their own set of login urls protected by various SSO configuration options.</div><div><br></div><div>We've gotten some complaints that some users are being sent through our MFA login despite not accessing MFA protected resources (which are identified by a different authn context), nor being opted in to our MFA system.</div><div><br></div><div>Loooking in the logs for clues, I see this:</div><div><br></div>2017-11-08 14:26:18,573 - ERROR [net.shibboleth.ext.spring.error.ErrorRaisingController:55] -  - Propagating exception thrown by request to /idp/Authn/UWLoginToken;jsessionid=68F2B8913867B1AE6D2066463C81C590<br><div><br></div><div>Google pointed me at "<span style="color:rgb(0,0,0);white-space:pre-wrap">IDP-889 - Handle 500 errors inside IDP".</span></div><div><span style="color:rgb(0,0,0);white-space:pre-wrap">Is there any way to tell why it's deciding to send them through that handler?</span></div><div><span style="color:rgb(0,0,0);white-space:pre-wrap"><br></span></div><div><span style="color:rgb(0,0,0);white-space:pre-wrap">Liam</span></div></div>