Скиллы/Разработка/identity-federation

identity-federation

Проверка единого входа через SAML, OIDC и OAuth2

zhaoxuya520/reverse-skillАвторский скилл

40 812звёзд 5 749форковУ всего репозитория

Что получите

Схема потока SSO и описание находок с воспроизведением, влиянием и проверочным списком.

Что передать

Согласованные границы проверки, тестовые учётные записи SSO и документация системы.

Автопроверка файлов16.09.2026

Проверен состав файлов. Запуск не тестировался. Что проверено

Оценки пользователей

Загрузка оценок…

Ваш опыт

Обсудить →

Как использовать

Помогает специалистам по безопасности проводить разрешённую проверку единого входа. Охватывает ошибки настройки, подписи SAML, перенаправления, защиту сеансов и путаницу между поставщиками идентификации.

Подготовьте тестовые аккаунты и зафиксируйте проверяемые стороны: поставщика идентификации и сервис, принимающий вход.
Составьте схему полного потока входа и соберите метаданные протоколов.
Проверьте типичные несоответствия и зафиксируйте воспроизведение и влияние каждой найденной проблемы.

Условия работы

Нужны разрешение на проверку и предварительное ознакомление со скиллом precedent-pentest; тестовые аккаунты и обе стороны SSO должны входить в согласованные границы.
Запрещены попытки перебора, способные заблокировать учётные записи реальных пользователей.
Проверка только JWT в API относится к отдельному скиллу api-security.

Пример запроса после установки

Проверь согласованный тестовый SSO через OIDC: составь схему входа, оцени защиту перенаправлений и сеансов, опиши воспроизведение и влияние найденных проблем.

Пример составлен по инструкции автора; результат запуска не проверялся.

Основание: инструкция закреплённой версии

Для установки

Node.js, npm и Git для команды выше. Подключения и инструменты для работы скилла настраиваются отдельно.

Совместимые агенты

Claude Code Codex Cursor OpenCode

Совместимость указана для инструкций. Запуск в каждом приложении не тестировался; для веб-чата способ подключения может отличаться.

Файлы скилла

GitHub

SKILL.md2 КБ references/sso-flow-checklist.md238 Б

Читать инструкцию SKILL.md

Исходный текст закреплённой версии.

---
name: identity-federation
description: Use for authorized assessment of federated identity systems including SAML, OIDC, OAuth2 flows, SSO misconfiguration, and token confusion issues.
---

# Identity Federation (SAML / OIDC / OAuth)

## ACTION REQUIRED（读完后立刻执行）

1. `NOW`: 读取 precedent-pentest；SSO 测试账号与 IdP/SP 范围入 scope
2. `NOW`: 禁止锁定真实用户账户的暴力尝试
3. `NEXT`: 抓包工具与文档（元数据 URL）
4. `ACT`: 协议流映射 → 常见错配 → 验证

## 适用场景

- SAML Response 签名/断言篡改面（经典缺陷模式）
- OIDC 隐式/授权码 + PKCE 缺失
- redirect_uri / state / nonce 问题
- IdP 与 SP 元数据、多租户 issuer 混淆
- 与 `api-security` JWT 攻击互补（本 skill 偏联邦与 SSO 流）

## 工作流

```text
□ 画清：User → SP → IdP → Token → SP
□ 收集：/.well-known/openid-configuration、SAML metadata
□ 检查：redirect_uri 精确匹配、state 绑定、PKCE
□ 检查：SAML 签名覆盖范围、algorithm 降级
□ 会话固定与登出失效
```

## 工具链

| 工具 | 用途 |
|------|------|
| Burp + SAML Raider 等 | 断言编辑（授权） |
| jwt_tool | JWT 段 |
| 浏览器 DevTools | 重定向链 |
| IdP 管理日志 | 审计 |

## 参考

- `references/sso-flow-checklist.md`
- `../api-security/` `../windows-ad/`（企业 IdP）

## 路由上下文

**上游**: MASTER R37  
**下游**: 纯 API JWT → api-security；云 IdP → cloud-k8s

## 任务完成自检

- [ ] 是否映射完整 SSO 流？
- [ ] 每个 Finding 是否有复现与影响？
- [ ] Checklist？

Проверка и особенности

Автоматическая проверка источника и файлов

Автоматически сверены публичный репозиторий, лицензия, YAML-заголовок SKILL.md, состав папки и Git-хеш каждого файла. Исполняемые файлы и срабатывания статических правил исключены из этой партии. Ручной аудит всех инструкций и проверка работы не проводились; эта проверка не гарантирует безопасность. Команда закреплена на проверенном коммите.

Интерес к репозиторию оцениваем по звёздам и форкам GitHub. Это показатели всего репозитория, а не числа установок отдельного скилла.

Проверка состава: 16.09.2026
Проверенная версия: 7e2097fd90d2
Файлы с кодом: Не указаны в данных проверки
Изменения на GitHub: Нужна повторная проверкаПоследняя проверка: 11.10.2026

Как мы проверяем скиллы

Репозиторий и лицензия

zhaoxuya520/reverse-skill

40 812 звёзд5 749 форков

Это показатели всего репозитория, а не установки скилла. Снимок требует обновления.

Другие скиллы из этого репозитория

Последняя активность GitHub: 22.09.2026
Лицензия: MIT
Добавлен в каталог: 16.09.2026

Полный текст лицензии

MIT License

Copyright (c) 2026 zhaoxuya520

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.

Ещё в этой категории

Все в категории

Обсуждение

Правила

Пользовались этим скиллом? Делитесь опытом без регистрации. Все комментарии проверяет модератор.

Мои комментарии