<div dir="ltr"><div>We have run into a problem with a relying party that is sending a requested NameID in SAML AuthnRequests:</div><div><br></div><div>    <saml:Subject xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"></div><div>        <saml:NameID</div><div>Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"></div><div><a href="mailto:nobody@vt.edu">nobody@vt.edu</a></saml:NameID></div><div>    </saml:Subject></div><div><br></div><div>I'd never seen this before, and frankly didn't even know it was a supported capability of the SAML 2 spec, but I was able to convince myself it made</div><div>sense on further consideration. Upon reviewing configuration and docs [1] to enable support for it, the defaults were so conservative that I wanted to make sure I understand the consequences. My intention is to allow mapping SAML NameIDs to subjects for a relying party group that includes SPs that are highly trusted (i.e. paying customers, legal contracts). That's simply a more manageable way than explicitly listing SPs per the default configuration template.</div><div><br></div><div>What's the risk of allowing this reverse lookup?</div><div><br></div><div>Thanks,</div><div>Marvin at Virginia Tech</div><div><br></div><div>[1] <a href="https://wiki.shibboleth.net/confluence/x/C4AEAQ">https://wiki.shibboleth.net/confluence/x/C4AEAQ</a></div><div><br></div></div>