SAML重新驗證用戶會話

Question

我們正在使用spring-security和PingOne作爲IdP來實施SAML。 我們遇到了一個問題，即當用戶使用SSO登錄到應用程序，然後在IdP上被禁用/刪除時，他的會話沒有終止，因此他可以繼續使用該應用程序。 我覆蓋了SAMLAuthenticationProvider身份驗證方法，所以我在ExpiringUsernameAuthenticationToken上設置了到期日期（類似於IdP在斷言中給我們SessionNotOnOrAfter值），但問題在於用戶剛剛從應用程序註銷，未重新進行身份驗證。

是否有任何方法檢查用戶是否仍然在IdP端有活動會話，並且只有在他的IdP會話無效時纔將其註銷？

Answer 1

對於這種情況SAML提供AuthnRequest的'IsPassive'屬性。如果設置爲'true'，則可用於檢查用戶是否仍然與IdP有效會話。這些'被動'AuthnRequests可以定期觸發（例如應用程序端會話超時）。