基于pac4j与Apache Shiro，如何设置SAML SSO的maximumAuthenticationLifetime？

一、设置为365天的安全风险 #

是的，将maximumAuthenticationLifetime设为365天（31536000秒）会带来明确的安全隐患。正如你担忧的，一旦攻击者通过网络嗅探、XSS攻击或其他手段截获用户的认证令牌（比如pac4j生成的Cookie或JWT），就能在整整一年内冒充用户访问系统，窃取敏感数据或执行未授权操作。

此外，长期有效的令牌会大幅提升泄露后的补救难度：用户可能长期不主动登出，系统无法自动失效旧令牌，一旦泄露，影响周期会被拉得很长。

二、合理设置值的参考 #

没有绝对统一的标准，需结合业务场景权衡安全与体验：

• 内部办公/低敏感场景：可设置为8-24小时（28800-86400秒），平衡用户登录频率与基础安全性。
• 高敏感业务（金融、医疗、核心数据系统）：建议设为15-60分钟（900-3600秒），同时搭配自动续期机制——用户活跃时刷新令牌有效期，既保障安全，又减少重复登录的麻烦。
• 移动端/持久化登录场景：若需“记住我”功能，不要依赖maximumAuthenticationLifetime本身，应单独配置专门的“记住我”令牌，有效期可设为7-30天，但必须采用高强度加密，且绑定用户设备信息，降低泄露风险。

三、最佳设置方式 #

1. 基础配置示例 #

在Shiro的配置类或shiro.ini中，针对pac4j Realm进行配置：

// Java代码配置
Pac4jRealm pac4jRealm = new Pac4jRealm();
pac4jRealm.setMaximumAuthenticationLifetime(3600); // 设置为1小时，单位秒

// 或shiro.ini配置
[pac4jRealm]
maximumAuthenticationLifetime = 3600

2. 搭配活跃续期机制 #

如果设置了较短的有效期，为避免用户频繁登录，可实现活跃续期：在用户发起请求时，检查令牌剩余有效期，若低于阈值（比如剩余10分钟），则自动重新生成令牌并更新有效期。pac4j与Shiro可通过过滤器或拦截器实现该逻辑。

3. 补充主动失效能力 #

仅靠有效期不够，需配置主动失效机制：

• 提供用户手动登出功能，登出时立即销毁当前令牌。
• 维护令牌黑名单，当用户账号锁定、密码修改或权限变更时，将旧令牌加入黑名单，禁止其继续使用。

4. 强化令牌本身安全性 #

无论有效期长短，都要通过以下方式降低泄露风险：

• 强制使用HTTPS传输，避免令牌明文暴露在网络中。
• 为Cookie令牌设置HttpOnly和Secure属性，防范XSS攻击窃取。
• 若使用JWT令牌，采用RS256等强加密算法，并定期轮换密钥。

内容的提问来源于stack exchange，提问作者moh