基于pac4j的SAML断言SubjectConfirmation的NotOnOrAfter配置咨询

一、NotOnOrAfter条件的含义 #

SAML断言里的SubjectConfirmation元素下的NotOnOrAfter，是IDP指定的断言使用截止时间——一旦当前时间达到或超过这个时间点，该断言就不能再被用来完成认证流程，核心作用是防止过期断言被恶意复用，保障认证安全性。

二、是否支持控制该验证及配置方法 #

Pac4j的SAML客户端完全支持对NotOnOrAfter条件的验证，且可通过以下方式配置：

• 时钟偏差调整：如果你的应用服务器和IDP存在时间差，可通过setClockSkew方法设置允许的时间偏移量（单位：秒），避免因微小时间差导致验证失败。示例代码：

  SAML2Client saml2Client = new SAML2Client();
  saml2Client.setClockSkew(60); // 允许60秒的时间偏差
  

• 会话有效期强制限制：你设置的setMaximumAuthenticationLifetime和NotOnOrAfter是两个独立的控制逻辑：
  • NotOnOrAfter是IDP在断言中定义的断言本身的有效使用期限；
  • setMaximumAuthenticationLifetime是应用侧强制设定的用户认证会话最长有效期，优先级高于NotOnOrAfter。比如IDP返回的NotOnOrAfter是24小时后，但你设置了setMaximumAuthenticationLifetime(3600)（1小时），那么用户的认证会话只会维持1小时有效。

三、默认行为 #

默认状态下，Pac4j会严格执行NotOnOrAfter的验证逻辑：

1. 检查当前时间是否晚于NotOnOrAfter指定的时间（加上配置的时钟偏差）；
2. 如果超出时间范围，直接拒绝该SAML断言，抛出验证失败的异常；
3. 若同时配置了setMaximumAuthenticationLifetime，则会以两者中更短的时间作为会话有效期的上限。

内容的提问来源于stack exchange，提问作者Eyal Ben-Avraham