<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">That's asking for an open redirector from the most sensitive system you have. How would you control what URLs were "acceptable" to land on? That's why the protocol is designed the way it is, and doesn't accommodate that sort of thing.<br></blockquote><div><br></div><div>Doesn't the "return" parameter for the SP's local logout handler let you do the same thing?  You don't even have to have a valid session to get it to redirect you someplace.</div><div><br></div><div>In our legacy solution, the redirect URL had to be in an accepted domain (pretty much just <a href="http://umich.edu">umich.edu</a>).</div><div>I was thinking maybe with the future solution, maybe it would allow you to redirect if the URL matched the SP Information URL in the MDUI metadata elements?</div></div></div>