ADFS中配置的WS-Federation被动端点工作机制解析

你的发现完全符合该端点的实际工作原理，以下是具体机制拆解：

• ADFS验证后的响应逻辑：当ADFS完成用户验证（对应[MS-ADFSOD] 3.1.1.1章节步骤8），会生成包含RequestSecurityTokenResponse（WS-Trust规范定义的安全断言）和ADFS认证Cookie的HTTP 200响应，响应内隐藏表单的action属性值，就是配置的WS-Federation Passive Endpoint地址。
• 客户端侧的请求触发：客户端执行响应中的JS脚本后，会自动提交该隐藏表单，将携带RSTR的POST请求发送到指定端点（对应章节步骤9），同时存储ADFS的认证Cookie。
• 配置与查看方式：通过Get-AdfsRelyingPartyTrust命令可查看依赖方的WSFedEndpoint属性，这就是控制请求目标的核心配置项。以SharePoint为例，你设置的redirectURL（https://spsites.contoso.local/_trust/default.aspx）就是SharePoint专门用于接收ADFS断言的信任端点。
• RP侧的后续处理：RP的STS收到该POST请求后，会验证RSTR的签名有效性，通过后生成RP自身的会话Cookie，完成用户在RP系统内的身份认证流程。

内容的提问来源于stack exchange，提问作者samm