<div dir="ltr"><div class="gmail_default" style="font-family:arial,sans-serif">My limited knowledge of how all this stuff works has been clouding my view.  Scott, I think you may have finally squished it into my brain.  :)  </div><div class="gmail_default" style="font-family:arial,sans-serif"><br></div><blockquote style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex" class="gmail_quote">Basically you're observing behavior from two independent software components (plus web servers, etc.) and ascribing all of the behavior to only one of them. The part you're asking about is handled by the other one.</blockquote><div><br></div><div class="gmail_default" style="font-family:arial,sans-serif">That's the part I was confused about.  </div><div class="gmail_default" style="font-family:arial,sans-serif"><br></div><div class="gmail_default" style="font-family:arial,sans-serif">Thanks a bunch,</div><div class="gmail_default" style="font-family:arial,sans-serif"><br></div><div class="gmail_default" style="font-family:arial,sans-serif">Robert "Check" Adamczyk</div><div class="gmail_default" style="font-family:arial,sans-serif"><br></div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Thu, Jan 2, 2025 at 3:46 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> it shows me the Terms of Use page. I click a checkbox, then<br>
> Submit, and it takes me to <a href="https://mySP.com/Page1" rel="noreferrer" target="_blank">https://mySP.com/Page1</a><br>
<br>
No, "it" doesn't, that's what I keep telling you. The IdP (which is the "it" in this discussion) sends a SAML response to the SP's ACS location and then the SP does whatever it does. That's largely out of scope, both of the standard and certainly of the IdP.<br>
<br>
Naturally, the SP Is in most cases (assuming success) intending to recover the page identity and send you there, but that's nothing to do with any standards or defined anywhere and not part of the IdP.<br>
<br>
The only thing the IdP gets is a state token, and it returns the token. There is not meant to be a URL in that token, and there usually isn't.<br>
<br>
Basically you're observing behavior from two independent software components (plus web servers, etc.) and ascribing all of the behavior to only one of them. The part you're asking about is handled by the other one.<br>
<br>
-- Scott<br>
<br>
<br>
</blockquote></div>