
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">

<style type="text/css" style="display:none;"><!-- P {margin-top:0;margin-bottom:0;} --></style>

</head>

<body dir="ltr">

<div id="divtagdefaultwrapper" style="font-size:12pt;color:#000000;font-family:Calibri,Helvetica,sans-serif;" dir="ltr">

<p style="margin-top:0;margin-bottom:0">Thanks Scott - your explanation makes sense. In the end we've managed to teach the loadbalancer to fix the root issue in ADFS, so the browser will only make the one request.</p>

<p style="margin-top:0;margin-bottom:0"><br>

</p>

<p style="margin-top:0;margin-bottom:0">Nick</p>

</div>

<hr style="display:inline-block;width:98%" tabindex="-1">

<div id="divRplyFwdMsg" dir="ltr"><font face="Calibri, sans-serif" style="font-size:11pt" color="#000000"><b>From:</b> users <users-bounces@shibboleth.net> on behalf of Cantor, Scott <cantor.2@osu.edu><br>

<b>Sent:</b> 06 March 2018 15:16:47<br>

<b>To:</b> Shib Users<br>

<b>Subject:</b> RE: Disable replay policy for one relying party</font>

<div> </div>

</div>

<div class="BodyFragment"><font size="2"><span style="font-size:11pt;">

<div class="PlainText">> Ideally ADFS would send better cache headers but am looking into this in<br>

> case that's not possible, since its AuthnRequest isn't signed so I don't think<br>

> there's any danger in allowing a replayed request.<br>

<br>

It's not about danger, it's about trapping somebody that hits the back button into artifically repeating a login, which I consider the worst possible outcome.<br>

<br>

There is no exposed support for it. Various undocumented changes to the system can do it, but nothing supported and definitely nothing per-RP.<br>

<br>

-- Scott<br>

<br>

-- <br>

For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg">

https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>

To unsubscribe from this list send an email to users-unsubscribe@shibboleth.net<br>

</div>

</span></font></div>

</body>

</html>