
<html><body>Hello,<BR>

<BR>

I'm building a fresh v4.1 IdP with the MFA flow combining the Password flow and the TOTP plugin.  It is working, but I have a couple of questions:<BR>

<BR>

1. When the example "checkSecondFactor" bean triggers an attribute query, the $resolutionContext.attributeRecipientID parameter is not populated (in the Attribute Resolver's <DataConnector><QueryTemplate>).  The SP triggering authentication is surely known, so is the absence of this value due to some limitation that I don't understand, or a bug?<BR>

<BR>

2. If an SP didn't specify a preferred authentication method during initiation of the login, then is there any way for the SP to discover afterwards whether or not TOTP was used?  The idp.authn.TOTP.addDefaultPrincipals configuration property implies that urn:oasis:names:tc:SAML:2.0:ac:classes:TimeSyncToken will be added to the results, but after successful 2FA the ShibAuthenticationMethod and ShibAuthnContextClass server variables still only show urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport<BR>

<BR>

3. Again with the attribute resolver <QueryTemplate>, is there any remotely similar substitute for the deprecated $resolutionContext.principalAuthenticationMethod parameter?<BR>

<BR>

Thank you,<BR>

Phil.<BR>


</body></html>