Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Bug: SBS interrupt redirect loses its nonce after StepUp

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#2,129 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 3 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
82/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
php
Lĩnh vực
authentication

Hướng nghiên cứu

Bắt đầu từ StepupAssertionConsumer và theo dõi cách phản hồi SBS gốc đã lưu được xử lý sau StepUp; issue xác định handleSramInterruptCallout() là lời gọi liên quan. Tìm kịch bản luồng kết hợp hiện có và mock SBS của nó, sau đó thêm các assertion cho nonce chuyển hướng và việc tiếp tục sau SBS. Hoàn thành khi nonce gốc được giữ nguyên và các luồng chỉ có StepUp cũng như luồng SBS được liệt kê vẫn hoạt động.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

When an SP requires both StepUp and an SRAM/SBS check, SBS may return an interrupt response with a nonce. EngineBlock stores that nonce and performs StepUp first. After StepUp returns, EngineBlock redirects the browser to SBS with an empty nonce query parameter instead of the nonce SBS issued. This may prevent SBS from resuming the interrupt flow.

In StepupAssertionConsumer , EngineBlock detects the stored SRAM step but passes the StepUp Gateway response to handleSramInterruptCallout() rather than the original response containing the SBS nonce.

Steps to reproduce

  1. Configure an SP to require StepUp and SRAM collaboration; enable eb.feature_enable_sram_interrupt .
  2. Configure SBS to return an interrupt response with a nonce, such as my-nonce .
  3. Log in through the IdP and complete StepUp.
  4. Inspect the browser's redirect to SBS.

Actual result
The SBS redirect contains an empty nonce, such as ?nonce= .

Expected result
The redirect contains the nonce from SBS's original interrupt response, such as ?nonce=my-nonce . The user can then complete the SBS step and continue through consent to the SP.

Acceptance criteria
• The SBS redirect after StepUp carries the original SBS nonce.
• A regression test asserts the nonce in the redirect and verifies the flow can continue after SBS.
• Existing StepUp-only, SBS-authorized, and SBS-interrupt-without-StepUp flows continue to work.

Technical hint: Pass the stored original response to handleSramInterruptCallout() in StepupAssertionConsumer . The existing combined-flow scenario does not assert the nonce, and its SBS mock ignores the redirect query string.

Ngôn ngữ chính
PHP
Star
17
Fork
25
Merge trung bình
2 ngày 13 giờ
Pull request đã merge (30 ngày)
2

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của OpenConext/OpenConext-engineblock

Tất cả issue của OpenConext/OpenConext-engineblock

Issue tương tự

Thêm issue về PHP

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.