SSOのブラウザは結局Cookieを見てるだけ

Shibbolethの認証ってのは、SPがブラウザにクッキーを生成して、保護リソースがクッキーを解読するってことだと解釈した。

クッキーが漏れたらやばいけど、そこはsslを使えばまぁ大丈夫かと。