search

italia / spid-php-lib

PHP package for SPID authentication
BSD 3-Clause "New" or "Revised" License
29 stars 37 forks source link

Livelli di autenticazione L1, L2 e L3 #128

Closed StefanoDevPro closed 2 years ago

StefanoDevPro commented 3 years ago

Ciao a tutti, credo di avere un po' di confusione sui livelli di autenticazione. Dalle regole tecniche deduco che ad impostare il livello consentito sono le righe della request, che ho impostato in questa maniera:

https://www.spid.gov.it/SpidL1 consentendo così l'accesso a tutti e tre i livelli. Il problema è che se imposto la mia request in quest'altra maniera: https://www.spid.gov.it/SpidL1 non dovrebbe consentirmi l'accesso ai livelli diversi da L1, ma questo non accade, se nell'utilizzo di testenv2 e forzo il livello a 3, l'autenticazione avviene comunque. Cosa succede? Come devo rimediare? Grazie in anticipo
umigliore commented 3 years ago

È richiesto da Agid l'impostazione del livello "minimo" (immagino che sia perché i livelli superiori includono anche i livelli inferiori). Puoi leggere nella issue #84 qualche info sull'argomento

StefanoDevPro commented 3 years ago

Grazie @umigliore, quindi mi confermi che se imposto la Comparison="minimum" e AuthnContextClassRef a https://www.spid.gov.it/SpidL1, l'accesso è sempre consentito a tutti i livelli, vero? E la validazione dovrebbe andare a buon fine...

umigliore commented 3 years ago

Si, se il livello minimo di accesso è L1, un utente con i 'maggiori' poteri L2 può sicuramente accedere.