SAML 2.0最佳实践：SP会话超时是否需触发IDP单点登出？

SAML 2.0规范的说明 #

SAML 2.0核心规范并没有强制要求服务提供商（SP）在会话超时后必须触发身份提供商（IDP）的单点登出流程。规范中定义的SLO机制主要针对用户主动发起的登出请求（比如点击登出按钮），而被动的会话超时场景，规范把决策权限交给了SP和IDP之间的配置约定，没有统一的硬性规定。

行业最佳实践共识 #

通常情况下，不建议SP在会话超时后触发IDP的单点登出，核心原因包括：

• 用户可能同时在其他与该IDP关联的SP应用中保持活跃会话，SP局部的超时不应该牵连IDP的全局会话，否则会打断用户在其他服务的正常使用
• IDP的会话生命周期通常由自身的全局策略管控（比如IDP层面的非活跃超时、最长会话时长），SP的局部会话超时属于自身的安全控制逻辑，不应越权终止IDP会话
• 会话超时属于被动终止场景，用户没有明确的全局登出意图，强行触发IDP登出不符合用户预期

结合你的例子分析 #

以MyApp（SP）和Microsoft Entra（IDP）的场景为例：

• 主动登出场景：用户点击MyApp的登出按钮，这是明确的主动登出请求，此时触发Microsoft Entra的SLO是合理的，符合用户希望终止所有关联会话的意图
• 会话超时场景：MyApp因用户非活跃X分钟触发超时登出，这种情况下不应该触发Microsoft Entra的登出。因为用户可能正在使用其他微软服务（如Outlook、Teams），MyApp的局部超时不应该导致整个微软账号登出，否则会严重影响用户体验。

内容的提问来源于stack exchange，提问作者David