mcpField
I
identity-federation

identity-federation

github.com/zhaoxuya520セキュリティ43.7k1.1k 回インストール5 週間前に更新
リポジトリ

identity-federation について

SAML、OIDC、OAuthを対象とする、許可済みのID連携・SSOセキュリティテスト向けスキルです。IdPとSP間のフローを整理し、プロトコルや設定の問題を確認して、再現方法と影響の記録を促します。

主な機能

  1. 01ユーザー、SP、IdP、トークンのフロー整理
  2. 02SAML署名とアサーション処理の確認
  3. 03OIDC、PKCE、state、nonceの検査
  4. 04redirect_uriとマルチテナントissuerの確認
  5. 05セッション固定とログアウト失効の評価

活用シーン

  1. 01SAMLアサーションの署名と改ざんリスクのテスト
  2. 02OIDC認可フローとPKCE欠落の確認
  3. 03リダイレクト、stateの紐付け、テナント設定の監査
  4. 04SSOの指摘事項と再現手順・影響の記録

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill identity-federation

インストール後、Claude Code で/identity-federationを入力して読み込まれたか確認します。

同梱ファイルreferences/sso-flow-checklist.md

README（原文）English

プロジェクトの README より

この README の日本語訳はまだありません。以下は英語の原文です。日本語の紹介はページ上部をご覧ください。

Identity Federation (SAML / OIDC / OAuth)

ACTION REQUIRED（读完后立刻执行）

  1. NOW: 读取 precedent-pentest；SSO 测试账号与 IdP/SP 范围入 scope
  2. NOW: 禁止锁定真实用户账户的暴力尝试
  3. NEXT: 抓包工具与文档（元数据 URL）
  4. ACT: 协议流映射 → 常见错配 → 验证

适用场景

  • SAML Response 签名/断言篡改面（经典缺陷模式）
  • OIDC 隐式/授权码 + PKCE 缺失
  • redirect_uri / state / nonce 问题
  • IdP 与 SP 元数据、多租户 issuer 混淆
  • 与 api-security JWT 攻击互补（本 skill 偏联邦与 SSO 流）

工作流

□ 画清：User → SP → IdP → Token → SP
□ 收集：/.well-known/openid-configuration、SAML metadata
□ 检查：redirect_uri 精确匹配、state 绑定、PKCE
□ 检查：SAML 签名覆盖范围、algorithm 降级
□ 会话固定与登出失效

工具链

工具用途
Burp + SAML Raider 等断言编辑（授权）
jwt_toolJWT 段
浏览器 DevTools重定向链
IdP 管理日志审计

参考

  • references/sso-flow-checklist.md
  • ../api-security/ ../windows-ad/（企业 IdP）

路由上下文

上游: MASTER R37
下游: 纯 API JWT → api-security；云 IdP → cloud-k8s

任务完成自检

  • 是否映射完整 SSO 流？
  • 每个 Finding 是否有复现与影响？
  • Checklist？

コメント

Markdown 対応