在Spring Security SAML中刷新會話

Question

我們正在使用Spring SAML擴展為我們的客戶提供對SSO的支持。 它可以與我們的開發環境IDP（okta）正常工作。 但是，我們的一位客戶正在使用Tivoli作為IDP，我們遇到了一個問題，即在一定時間后，用戶將開始無法驗證錯誤。

根據研究發現，Tivoli正在為<saml:AuthnStatement AuthnInstant="2015-09-14T20:14:14Z" SessionIndex="xxxx" SessionNotOnOrAfter="2015-09-14T21:14:14Z">設置SessionNotOnOrAfter屬性<saml:AuthnStatement AuthnInstant="2015-09-14T20:14:14Z" SessionIndex="xxxx" SessionNotOnOrAfter="2015-09-14T21:14:14Z">在我們的SAML斷言響應中。

我想知道我們作為SP有什么選擇來處理這種情況。 我們是否應該在出現問題時提示用戶重新進行身份驗證，或者是否可以通過某種方式設置應用程序以使其能夠自動刷新會話。

謝謝薩希爾

Answer 1

此SessionNotOnOrAfter屬性將使有效負載到期。 SP永遠不會收到相同的有效載荷。如果這樣，中間人攻擊的機會將很大。

SP應該實現KeepAlive功能以回溯IDP，從而延長同一有效負載的會話。因此IDP可以使用當前數據和時間戳更新此屬性。