Validazione metadati SP

[alranel]

I metadati SP dovrebbero essere validati nel momento in cui vengono usati, e quindi gli errori dovrebbero essere mostrati a video insieme agli errori della AuthnRequest. Cosa ne pensi @fmarco?

[fmarco]

@alexrj Sì, in ottica anche dell'integrazione del supporto multi-utente potrebbe aver senso validare i dati nel momento effettivo in cui vengono utilizzati. Direi che questa issue si può ricollegare alla #37

[simevo]

vedi primi test manuali di validazione metedata lato SP: https://github.com/italia/spid-php/issues/19#issuecomment-400702482

[alranel]

Promemoria: del metadata SP va verificata anche la firma, ma l'eventuale assenza va mostrata solo come warning (il testenv2 deve funzionare anche con metadati non firmati).

[alranel]

Il certificato presente nei metadati va verificato per quanto riguarda:

• completezza/sintassi
• scadenza
• uso di SHA1 (non deve essere usato)

[alranel]

Appunti per possibili errori:

• NameFormat errato (alcune implementazioni indicano urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified anziché :basic);
• <SingleLogoutService> mancante;
• <KeyDescriptor> senza attributo use="signing"
• attributi non esistenti indicati in AttributeConsumingService
• ID che inizia con cifra

[fmarco]

@alexrj Ciao, potresti verificare che attualmente su master ci sia una copertura adeguata? Abbiamo mergiata una modificata coperta da unit test.

[peppelinux]

Questa issue suona un po giurassica, taggo con "closing" perché mi sembra che a parte lo scrupolo di controllare, le verifiche in oggetto parrebbero già state realizzate