LLMSkillHub
mirroredCopied from coco-research/coco under MIT. coco-research has not claimed this page, and is not affiliated with LLM SkillHub.

coco-research / identity-federation

Use for authorized assessment of federated identity systems including SAML, OIDC, OAuth2 flows, SSO misconfiguration, and token confusion issues.

0
SKILL.md
1.1 KB

Identity Federation (SAML / OIDC / OAuth)

适用场景

  • SAML Response 签名/断言篡改面（经典缺陷模式）
  • OIDC 隐式/授权码 + PKCE 缺失
  • redirect_uri / state / nonce 问题
  • IdP 与 SP 元数据、多租户 issuer 混淆
  • 与 api-security JWT 攻击互补（本 skill 偏联邦与 SSO 流）

工作流

□ 画清：User → SP → IdP → Token → SP
□ 收集：/.well-known/openid-configuration、SAML metadata
□ 检查：redirect_uri 精确匹配、state 绑定、PKCE
□ 检查：SAML 签名覆盖范围、algorithm 降级
□ 会话固定与登出失效

工具链

工具用途
Burp + SAML Raider 等断言编辑（授权）
jwt_toolJWT 段
浏览器 DevTools重定向链
IdP 管理日志审计

参考

  • references/sso-flow-checklist.md
  • ../api-security/ ../windows-ad/（企业 IdP）