WSO2 IS中SAML授权模式下双会话超时的实现与同步问题

一、重新生成令牌时WSO2 IS的空闲超时是否会延长？ #

会。当基于已有的SAML会话重新生成OAuth2令牌时，WSO2 IS会自动更新对应SAML会话的lastAccessedTime字段，相当于重置了空闲超时计时器，WSO2侧的空闲超时会从令牌重新生成的时间点开始，再次计算12小时的有效期。

二、如何同步Redis与WSO2 IS会话，实现空闲+总会话双超时机制？ #

由于WSO2 IS原生仅支持空闲超时，需要在应用层结合Redis的存储逻辑额外实现总会话超时控制，同时保证两边会话状态同步，具体方案如下：

1. 登录成功时的Redis存储设计 #

首次登录并生成OAuth2令牌后，在Redis中以用户ID或SAML会话ID作为键，存储以下核心数据：

• oauth_token: 生成的OAuth2令牌内容
• login_start_time: 用户首次登录的时间戳（固定存储，用于计算总会话时长）
• 直接为Redis键设置12小时的过期时间（与WSO2的空闲超时配置对齐，实现空闲超时控制）

2. 请求校验的双重超时判断逻辑 #

每次用户发起请求时，按以下顺序校验：

• 总会话超时校验
  计算当前时间与login_start_time的差值，若超过72小时：
  • 清除Redis中该用户的令牌数据
  • 调用WSO2 IS的会话终止API（如POST /api/identity/session/v1/sessions/terminate），传入SAML会话ID终止WSO2侧会话
  • 引导用户重新登录
• 空闲超时校验
  若总会话未超时，依赖Redis键的过期状态判断：
  • 若Redis键未过期：刷新Redis键的过期时间（重置为12小时），同时调用WSO2 IS的会话更新API，将对应SAML会话的lastAccessedTime更新为当前时间，保证两边空闲超时同步
  • 若Redis键已过期：重新生成OAuth2令牌，更新Redis中的oauth_token并重置键的过期时间（login_start_time保持不变），此时WSO2侧的空闲超时会自动重置

3. 双向状态同步保障 #

• 应用侧同步到WSO2：每次用户有活跃请求时，必须同步更新WSO2的会话访问时间，避免WSO2侧因空闲超时先于Redis终止会话
• WSO2侧同步到应用：通过WSO2 IS的事件订阅功能，订阅SESSION_TERMINATED事件，当WSO2的SAML会话因空闲超时被终止时，触发应用回调逻辑，清除Redis中对应的令牌数据
• 异常兜底：在重新生成令牌时，捕获WSO2返回的会话失效异常（如InvalidSessionException），直接清除Redis中的令牌数据，引导用户重新登录

内容的提问来源于stack exchange，提问作者rahul