<div dir="ltr"><div dir="ltr"><br>I believe I have identified the cause of this behavior. From a SAML XML perspective, forceAuthn is a boolean that expects a value of 0, 1, true, or false.<br><br>It appears the SP is not converting "on" to "1" or "true" before passing it along. Instead, it passes the value literally as "on," which causes the process to break.<br><br>Some clarification in the SP docs, or a warning, might be helpful if this is the cause.  <br><br><div><div dir="ltr" class="gmail_signature"><br>Dan </div></div><br></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Thu, Jun 4, 2026 at 2:59 PM Dan McLaughlin <<a href="mailto:dmclaughlin@tech-consortium.com">dmclaughlin@tech-consortium.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr">I am looking for clarification regarding the behavior of forceAuthn within SP 3, Embedded DS, and IDP 5.1.x.<br><br>According to the SP documentation, the values "1", "true", and "On" should be interchangeable for boolean settings. However, we recently encountered an issue where setting ShibRequestSetting forceAuthn on caused users to get stuck in a loop if they took too long to complete MFA, resulting in the error: "The gap between now and the time you logged into your identity provider exceeds the allowed limit."<br><br>Changing the configuration to ShibRequestSetting forceAuthn true resolved the issue, and the IDP now correctly forces authentication, breaking the loop. <br><br>Could someone familiar with the internals of these components explain why "on" and "true" appear to behave differently in this context? I would like to know if this is a known bug or if I am misinterpreting the documentation.<br><br>Thanks,<br><br>Dan <br><br></div>
</blockquote></div></div>