SAML多IDP元数据缓存失效策略咨询：无validUntil/cacheDuration字段时的处理

缓存失效的核心依据 #

• IDP变更触发：如果IDP支持元数据更新推送（如webhook），直接触发缓存失效并重新拉取；无推送机制则依赖定期轮询。
• 验证失败触发：当使用缓存的元数据进行SAML断言验证失败（比如签名不通过、端点地址无效），立即标记该IDP元数据为可疑，触发强制更新。
• 管理员手动触发：提供后台操作入口，允许管理员手动刷新指定IDP的元数据，应对突发的IDP配置变更。

合理的过期时间设置 #

• 通用默认值：针对Ping、AD、Auth0、Okta这类主流IDP，建议默认设置7天的缓存过期时间。这类厂商的元数据变更频率极低，仅在重大配置调整（如证书轮换、端点变更）时才会更新。
• 证书到期前置处理：解析元数据中的证书有效期，在证书到期前30天就开始提前轮询更新元数据，避免因证书过期导致SSO失败。
• 差异化配置：允许为不同IDP单独设置缓存时长，比如稳定性更高的AD可设为14天，迭代较快的Auth0设为3天。

额外缓存优化手段 #

• 内容校验：每次拉取元数据后计算SHA-256哈希值，和缓存内的哈希值对比，只有当内容确实变化时才更新缓存，避免无效写入。
• 失败重试策略：拉取元数据失败时采用指数退避重试（如首次失败后10分钟重试，第二次30分钟，最长不超过24小时），同时保留旧缓存数据继续使用，避免服务中断。
• 持久化缓存：将元数据缓存到数据库或Redis等持久化存储，避免服务重启后重新拉取所有IDP的元数据。

内容的提问来源于stack exchange，提问作者parv bhardwaj