saml/vendor/onelogin/php-saml/CHANGELOG

   1 CHANGELOG
   2 =========
   3 v4.0.0
   4 * Supports PHP 8.X
   5
   6 v3.6.1
   7 * [#467](https://github.com/onelogin/php-saml/issues/467) Fix bug on getSelfRoutedURLNoQuery method
   8
   9 v3.6.0
  10 * Add AES128_GCM encryption on generateNameId method. New setting parameter encryption_algorithm. If you set a encryption method different than AES128_CBC then the algorithm RSA_OAEP_MGF1P will be used as well instead RSA_1_5
  11 * PHP 8.0 support
  12
  13 v3.5.1
  14 * 3.5.0 packagist/github release due a confusion were using the master (2.X branch). I'm releasing 3.5.1 to fix this issue and go back to 3.X branch
  15
  16 v3.5.0
  17 * [#412](https://github.com/onelogin/php-saml/pull/412) Empty instead of unset the $_SESSION variable
  18 * [#433](https://github.com/onelogin/php-saml/issues/443) Fix Incorrect Destination in LogoutResponse when using responseUrl #443
  19 * Update xmlseclibs to 3.1.1
  20 * Add support for SMARTCARD_PKI and RSA_TOKEN Auth Contexts
  21 * Get lib path dinamically
  22 * Check for x509Cert of the IdP when loading settings, even if the security index was not provided
  23 * Support Statements with Attribute elements with the same name enabling the allowRepeatAttributeName setting
  24
  25 v3.4.1
  26 * Add setSchemasPath to Auth class and fix backward compatibility
  27
  28 v.3.4.0
  29 * Support rejecting unsolicited SAMLResponses.
  30 * Support stric destination matching.
  31 * Reject SAMLResponse if requestID was provided to the validotr but the InResponseTo attributeof the SAMLResponse is missing
  32 * Check destination against the getSelfURLNoQuery as well on LogoutRequest and LogoutResponse as we do on Response
  33 * Improve getSelfRoutedURLNoQuery method
  34 * Only add responseUrl to the settings if ResponseLocation present in the IdPMetadataParser
  35 * Remove use of $_GET on static method validateBinarySign
  36 * Fix error message when Assertion and NameId are both encrypted (not supported)
  37
  38 v.3.3.1
  39 * Update xmlseclibs to 3.0.4
  40 * Remove Comparison atribute from RequestedAuthnContext when setting has empty value
  41
  42 v.3.3.0
  43 * Set true as the default value for strict setting
  44 * Relax comparision of false on SignMetadata
  45 * Fix CI
  46
  47 v.3.2.1
  48 * Add missed nameIdValueReq parameter to buildAuthnRequest method
  49
  50 v.3.2.0
  51 * Add support for Subjects on AuthNRequests by the new parameter nameIdValueReq
  52 * Support SLO ResponseLocation
  53 * [#344](https://github.com/onelogin/php-saml/issues/344) Raise errors on IdPMetadataParser::parseRemoteXML and IdPMetadataParser::parseFileXML
  54 * [#356](https://github.com/onelogin/php-saml/issues/356) Support 'x509cert' and 'privateKey' on signMetadata security setting
  55
  56 v.3.1.1
  57 * Force to use at least xmlseclibs 3.0.3 for security reasons
  58 * [#367](https://github.com/onelogin/php-saml/pull/367) Move the creation of the AuthnRequest to separate function
  59 * Set strict=true on config examples
  60 * Move phpunit.xml
  61
  62 v.3.1.0
  63 * Security improvement suggested by Nils Engelbertz to prevent DDOS by expansion of internally defined entities (XEE)
  64 * Fix setting_example.php servicename parameter
  65
  66 v.3.0.0
  67 * Remove mcrypt dependency. Compatible with PHP 7.2
  68 * xmlseclibs now is not part of the toolkit and need to be installed from original source
  69
  70 v.2.18.0
  71 * Support rejecting unsolicited SAMLResponses.
  72 * Support stric destination matching.
  73 * Reject SAMLResponse if requestID was provided to the validotr but the InResponseTo attributeof the SAMLResponse is missing
  74 * Check destination against the getSelfURLNoQuery as well on LogoutRequest and LogoutResponse as we do on Response
  75 * Improve getSelfRoutedURLNoQuery method
  76 * Only add responseUrl to the settings if ResponseLocation present in the IdPMetadataParser
  77 * Remove use of $_GET on static method validateBinarySign
  78 * Fix error message when Assertion and NameId are both encrypted (not supported)
  79
  80 v.2.17.1
  81 * Update xmlseclibs to 3.0.4
  82 * Remove Comparison atribute from RequestedAuthnContext when setting has empty value
  83
  84 v.2.17.0
  85 * Set true as the default value for strict setting
  86 * Support 'x509cert' and 'privateKey' on signMetadata security settings
  87 * Relax comparision of false on SignMetadata
  88 * Fix CI
  89
  90 v.2.16.0
  91 * Support SLO ResponseLocation
  92 * [#344](https://github.com/onelogin/php-saml/issues/344) Raise errors on IdPMetadataParser::parseRemoteXML and IdPMetadataParser::parseFileXML
  93 * Adjusted acs endpoint to extract NameQualifier and SPNameQualifier from SAMLResponse. Adjusted single logout service to provide NameQualifier and SPNameQualifier to logout method. Add getNameIdNameQualifier to Auth and SamlResponse. Extend logout method from Auth and LogoutRequest constructor to support SPNameQualifier parameter. Align LogoutRequest constructor with SAML specs
  94 * Add support for Subjects on AuthNRequests by the new parameter
  95 * Set strict=true on config examples
  96
  97 v.2.15.0
  98 * Security improvement suggested by Nils Engelbertz to prevent DDOS by expansion of internally defined entities (XEE)
  99 * Fix bug on settings_example.php
 100
 101 v.2.14.0
 102 * Add  parameter to the decryptElement method to make optional the formatting
 103 * [#283](https://github.com/onelogin/php-saml/pull/283) New method of importing a decrypted assertion into the XML document to replace the EncryptedAssertion. Fix signature issues on Signed Encrypted Assertions with default namespace
 104 * Allow the getSPMetadata() method to always include the encryption Key Descriptor
 105 * Change some Fatal Error to Exceptions
 106 * [#265](https://github.com/onelogin/php-saml/issues/265) Support parameters at getSPMetadata method
 107 * Avoid calling static method using this
 108
 109 v.2.13.0
 110 * Update xmlseclibs with some fixes.
 111 * Add extra protection verifying the Signature algorithm used on SignedInfo element, not only rely on the xmlseclibs verify / verifySignature methods.
 112 * Add getAttributesWithFriendlyName method which returns the set of SAML attributes indexed by FriendlyName
 113 * Fix bug on parseRemoteXML and parseFileXML. Internal calls to parseXML missed the desiredNameIdFormat parameter
 114
 115 v.2.12.0
 116 * Improve Time management. Use DateTime/DateTimeZone classes.
 117 * Escape error messages in debug mode
 118 * Improve phpdoc
 119 * Add an extra filter to the url to be used on redirection
 120
 121 * [#242](https://github.com/onelogin/php-saml/pull/242) Document that SHA-1 must not be used
 122 * [#250](https://github.com/onelogin/php-saml/pull/250) Fixed issue with IdPMetadataParser only keeping 1 certificate when multiple certificates of a single type were provided.
 123 * [#263](https://github.com/onelogin/php-saml/issues/263) Fix incompatibility with ADFS on SLO. When on php saml settings NameID Format is set as unspecified but the SAMLResponse has no NameID Format, no NameID Format should be specified on LogoutRequest.
 124
 125 v.2.11.0
 126 * [#236](https://github.com/onelogin/php-saml/pull/236) Exclude unnecesary files from Composer production downloads
 127 * [#226](https://github.com/onelogin/php-saml/pull/226) Add possibility to handle nameId NameQualifier attribute in SLO Request
 128 * Improve logout documentation on Readme.
 129 * Improve multi-certificate support
 130
 131 v.2.10.7
 132 * Fix IdPMetadataParser. The SingleLogoutService retrieved method was wrong
 133 * [#201](https://github.com/onelogin/php-saml/issues/201) Fix issues with SP entity_id, acs url and sls url that contains &
 134
 135 v.2.10.6
 136 * [#206](https://github.com/onelogin/php-saml/pull/206)Be able to register future SP x509cert on the settings and publish it on SP metadata
 137 * [#206](https://github.com/onelogin/php-saml/pull/206) Be able to register more than 1 Identity Provider x509cert, linked with an specific use (signing or encryption)
 138 * [#206](https://github.com/onelogin/php-saml/pull/206) Support the ability to parse IdP XML metadata (remote url or file) and be able to inject the data obtained on the settings.
 139
 140 v.2.10.5
 141 * Be able to get at the auth object the last processed ID
 142 * Improve NameID Format support
 143 * Reset errorReason attribute of the auth object after each Process method
 144 * Validate serial number as string to work around libxml2 limitation
 145 * Make the Issuer on the Response Optional
 146
 147 v.2.10.4
 148 * [+](https://github.com/onelogin/php-saml/commit/949359f5cad5e1d085c4e5447d9aa8f49a6e82a1) Security update for signature validation on LogoutRequest/LogoutResponse
 149 * [#192](https://github.com/onelogin/php-saml/pull/192) Added ability to configure DigestAlgorithm in settings
 150 * [#183](https://github.com/onelogin/php-saml/pull/183) Fix strpos bug when decrypting assertions
 151 * [#186](https://github.com/onelogin/php-saml/pull/186) Improve info on entityId validation Exception
 152 * [#188](https://github.com/onelogin/php-saml/pull/188) Fixed issue with undefined constant of UNEXPECTED_SIGNED_ELEMENT
 153 * Read ACS binding on AuthNRequest builder from settings
 154 * Be able to relax Destination validation on SAMLResponses and let this
 155   attribute to be empty with the 'relaxDestinationValidation' setting
 156
 157 v.2.10.3
 158 * Implement a more specific exception class for handling some validation errors
 159 * Minor changes on time validation/exceptions
 160 * Add hooks to retrieve last-sent and last-received requests and responses
 161 * Improve/Fix tests
 162 * Add DigestAlgorithm support on addSign
 163 * [#177](https://github.com/onelogin/php-saml/pull/177) Add error message for bad OneLogin_Saml2_Settings argument
 164
 165 v.2.10.2
 166 * [#175](https://github.com/onelogin/php-saml/pull/175) Allow overriding of host, port, protocol and url path for URL building
 167 * [#173](https://github.com/onelogin/php-saml/pull/173) Provide better support to NameIdFormat
 168 * Fix another issue on Assertion Signature validation when the assertion contains no namespace, container has saml2 namespace and it was encrypted
 169
 170 v.2.10.1
 171 * Fix error message on SignMetadata process
 172 * Fix issue on Assertion Signature validation when the assertion contains no namespace and it was encrypted
 173
 174 v.2.10.0
 175 * Several security improvements:
 176   * Conditions element required and unique.
 177   * AuthnStatement element required and unique.
 178   * SPNameQualifier must math the SP EntityID
 179   * Reject saml:Attribute element with same “Name” attribute
 180   * Reject empty nameID
 181   * Require Issuer element. (Must match IdP EntityID).
 182   * Destination value can't be blank (if present must match ACS URL).
 183   * Check that the EncryptedAssertion element only contains 1 Assertion element.
 184 * Improve Signature validation process
 185 * AttributeConsumingService support
 186 * Support lowercase Urlencoding (ADFS compatibility).
 187 * [#154](https://github.com/onelogin/php-saml/pull/154) getSelfHost no longer returns a port number
 188 * [#156](https://github.com/onelogin/php-saml/pull/156) Use correct host on response destination fallback check
 189 * [#158](https://github.com/onelogin/php-saml/pull/158) NEW Control usage of X-Forwarded-* headers
 190 * Fix issue with buildRequestSignature. Added RelayState to the SignQuery only if is not null.
 191 * Add Signature Wrapping prevention Test
 192 * Improve _decryptAssertion in order to take care of Assertions with problems with namespaces
 193 * Improve documentation
 194
 195 v.2.9.1
 196 .......
 197 * [134](https://github.com/onelogin/php-saml/pull/134) PHP7 production settings compiles out assert(), throw an exception explicitly
 198 * [132](https://github.com/onelogin/php-saml/pull/132) Add note for "wantAssertionsEncrypted"
 199 * Update copyright on LICENSE
 200
 201 v.2.9.0
 202 -------
 203 * Change the decrypt assertion process.
 204 * Add 2 extra validations to prevent Signature wrapping attacks.
 205 * Remove reference to wrong NameIDFormat: urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified should be urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
 206 * [128](https://github.com/onelogin/php-saml/pull/128) Test php7 and upgrade phpunit
 207 * Update Readme with more descriptive requestedAuthnContext description and Security Guidelines
 208
 209 v.2.8.0
 210 -------
 211 * Make NameIDPolicy of AuthNRequest optional
 212 * Make nameID requirement on SAMLResponse optional
 213 * Fix empty URI support
 214 * Symmetric encryption key support
 215 * Add more Auth Context options to the constant class
 216 * Fix DSA_SHA1 constant on xmlseclibs
 217 * Set none requestedAuthnContext as default behaviour
 218 * Update xmlseclibs lib
 219 * Improve formatPrivateKey method
 220 * Fix bug when signing metadata, the SignatureMethod was not provided
 221 * Fix getter for lastRequestID parameter in OneLogin_Saml2_Auth class
 222 * Add $wantEncrypted parameter on addX509KeyDescriptors method that will allow to set KeyDescriptor[use='encryption'] if wantNameIdEncrypted or wantAssertionsEncrypted enabled
 223 * Add $stay parameter on redirectTo method. (login/logout supports $stay but I forgot add this on previous 2.7.0 version)
 224 * Improve code style
 225
 226 v.2.7.0
 227 -------
 228 * Trim acs, slo and issuer urls.
 229 * Fix PHP 7 error (used continue outside a loop/switch).
 230 * Fix bug on organization element of the SP metadata builder.
 231 * Fix typos on documentation. Fix ALOWED Misspell.
 232 * Be able to extract RequestID. Add RequestID validation on demo1.
 233 * Add $stay parameter to login, logout and processSLO method.
 234
 235 v.2.6.1
 236 -------
 237 * Fix bug on cacheDuration of the Metadata XML generated.
 238 * Make SPNameQualifier optional on the generateNameId method. Avoid the use of SPNameQualifier when generating the NameID on the LogoutRequest builder.
 239 * Allows the authn comparsion attribute to be set via config.
 240 * Retrieve Session Timeout after processResponse with getSessionExpiration().
 241 * Improve readme readability.
 242 * Allow single log out to work for applications not leveraging php session_start. Added a callback parameter in order to close the session at processSLO.
 243
 244 v.2.6.0
 245 -------
 246 * Set NAMEID_UNSPECIFIED as default NameIDFormat to prevent conflicts with IdPs that don't support NAMEID_PERSISTENT.
 247 * Now the SP is able to select the algorithm to be used on signatures (DSA_SHA1, RSA_SHA1, RSA_SHA256, RSA_SHA384, RSA_SHA512).
 248 * Change visibility of _decryptAssertion to protected.
 249 * Update xmlseclibs library.
 250 * Handle valid but uncommon dsig block with no URI in the reference.
 251 * login, logout and processSLO now return ->redirectTo instead of just call it.
 252 * Split the setting check methods. Now 1 method for IdP settings and other for SP settings.
 253 * Let the setting object to avoid the IdP setting check. required if we want to publish SP SAML Metadata when the IdP data is still not provided.
 254
 255 v.2.5.0
 256 -------
 257 * Do accesible the ID of the object Logout Request (id attribute).
 258 * Add note about the fact that PHP 5.3 is unssuported.
 259 * Add fingerprint algorithm support.
 260 * Add dependences to composer.
 261
 262 v.2.4.0
 263 -------
 264 * Fix wrong element order in generated metadata.
 265 * Added SLO with nameID and SessionIndex in demo1.
 266 * Improve isHTTPS method in order to support HTTP_X_FORWARDED_PORT.
 267 * Set optional the XMLvalidation (enable/disable it with wantXMLValidation security setting).
 268
 269 v.2.3.0
 270 -------
 271 * Resolve namespace problem. Some IdPs uses saml2p:Response and saml2:Assertion instead of samlp:Response saml:Assertion.
 272 * Improve test and documentation.
 273 * Improve ADFS compatibility.
 274 * Remove unnecessary XSDs files.
 275 * Make available the reason for the saml message invalidation.
 276 * Adding ability to set idp cert once the Setting object initialized.
 277 * Fix status info issue.
 278 * Reject SAML Response if not signed and strict = false.
 279 * Support NameId and SessionIndex in LogoutRequest.
 280 * Add ForceAuh and IsPassive support.
 281
 282 v.2.2.0
 283 -------
 284 * Fix bug with Encrypted nameID on LogoutRequest.
 285 * Fixed usability bug. SP will inform about AuthFail status after process a Response.
 286 * Added SessionIndex support on LogoutRequest, and know is accesible from the Auth class.
 287 * LogoutRequest and LogoutResponse classes now accept non deflated xml.
 288 * Improved the XML metadata/ Decrypted Assertion output. (prettyprint).
 289 * Fix bug in formatPrivateKey method, the key could be not RSA.
 290 * Explicit warning message for signed element problem.
 291 * Decrypt method improved.
 292 * Support more algorithm at the SigAlg in the Signed LogoutRequests and LogoutResponses
 293 * AuthNRequest now stores ID (it can be retrieved later).
 294 * Fixed a typo on the 'NameIdPolicy' attribute that appeared at the README and settings_example file.
 295
 296
 297 v.2.1.0
 298 -------
 299
 300 * The isValid method of the Logout Request is now non-static. (affects processSLO method of Auth.php).
 301 * Logout Request constructor now accepts encoded logout requests.
 302 * Now after validate a message, if fails a method getError of the object will return the cause.
 303 * Fix typos.
 304 * Added extra parameters option to login and logout methods.
 305 * Improve Test (new test, use the new getError method for testing).
 306 * Bugfix namespace problem when getting Attributes.
 307
 308
 309 v.2.0.0
 310 -------
 311
 312 * New PHP SAML Toolkit (SLO, Sign, Encryptation).
 313
 314
 315 v.1.0.0
 316 -------
 317
 318 * Old PHP SAML Toolkit.