WSO2 IS 5.11自适应认证：点击返回键需清除会话并跳转登录页

问题场景 #

配置了基础认证登录页和密码重置强制器的WSO2 IS 5.11，密码过期时会强制用户跳转至密码重置页。但存在以下问题：

• 用户A密码过期，登录后跳转至密码重置页，点击返回键回到登录页
• 输入另一位密码过期的用户B的账号密码登录，跳转至重置页后，系统仍保留用户A的认证上下文，最终导致用户A的密码被误修改

解决方法 #

1. 自适应认证脚本中加入上下文清除与提示逻辑 #

在自适应认证的脚本里，检测到密码过期状态时，先重置当前认证上下文，再跳转回登录页并携带提示信息：

// 检查用户密码是否过期
if (user && user.attributes && user.attributes['passwordExpired'] === 'true') {
    // 重置所有认证步骤状态
    context.steps.forEach(step => {
        if (step.type === 'AUTHENTICATION') {
            step.status = 'NOT_ATTEMPTED';
        }
    });
    // 构建带提示的登录页跳转URL
    const loginUrl = `${context.authenticationEndpoint}?errorMsg=您的密码已过期，请重新登录后完成密码重置`;
    sendRedirect(loginUrl);
}

2. 自定义登录页返回按钮的会话清除逻辑 #

修改登录页的返回按钮行为，点击时主动清除WSO2 IS的认证会话Cookie，确保上下文完全清空：

document.querySelector('.back-btn').addEventListener('click', () => {
    // 清除认证相关Cookie
    const cookies = ['JSESSIONID', 'AUTH_SESSION_ID', 'APP_SESSION_ID'];
    cookies.forEach(cookie => {
        document.cookie = `${cookie}=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/; domain=${window.location.hostname};`;
    });
    // 跳转回登录页并显示提示
    window.location.href = '/authenticationendpoint/login.do?errorMsg=请重新输入账号信息';
});

3. 调整密码重置强制器配置 #

在repository/conf/identity/identity.xml中修改密码重置挑战处理器的配置，添加会话清除属性：

<EventListener type="org.wso2.carbon.identity.application.authentication.framework.handler.request.PostAuthenticationHandler" 
               name="org.wso2.carbon.identity.governance.handler.challenge.PasswordResetChallengeHandler" 
               order="10" enable="true">
    <Property name="SkipOnRememberMe">false</Property>
    <Property name="ClearSessionOnRedirect">true</Property> <!-- 开启跳转时清除会话 -->
</EventListener>

4. SAML服务提供者配置强化会话隔离 #

在WSO2 IS管理控制台的对应SAML应用配置中，开启强制认证选项，确保每次登录都创建全新会话：

• 进入应用 > 服务提供者 > 目标SAML应用 > 认证设置
• 勾选Force Authentication，并设置Is Passive为false

内容的提问来源于stack exchange，提问作者rahul