Shibboleth会话超时后如何重定向至错误模板（IIS环境）

1. 修改Shibboleth SP核心配置（shibboleth2.xml） #

Shibboleth默认会话超时后会自动触发IDP重登，需通过配置错误映射拦截该行为：

• 找到<Errors>节点，添加SessionExpired类型错误的自定义页面映射：

<Errors supportContact="your-support@domain.com"
        helpLocation="/shib-help.html"
        styleSheet="/shibboleth-sp/main.css">
    <!-- 映射会话过期错误到自定义模板 -->
    <Error type="SessionExpired" location="/error/session-timeout.html"/>
</Errors>

• 调整<Sessions>节点的会话处理逻辑，禁用自动重登触发：
  在<Sessions>中确保不强制重认证，同时保留正确的handler路径：

<Sessions lifetime="28800" timeout="3600" relayState="ss:mem"
          handlerURL="/Shibboleth.sso" handlerSSL="true"
          idpHistory="false" idpHistoryDays="7">
    <!-- 保留原有SessionInitiator配置，移除或设置forceAuthn="false" -->
    <SessionInitiator type="Chaining" id="Login" Location="/Login" isDefault="true" relayState="cookie">
        <SessionInitiator type="SAML2" template="/Templates/login.html"/>
    </SessionInitiator>
</Sessions>

2. 配置IIS错误页映射 #

Shibboleth会话过期可能返回401类状态码，需在IIS中完成对应错误页的绑定：

• 打开目标站点的「错误页」功能
• 找到错误码401.3（未授权：资源ACL限制），点击「编辑」
• 选择「响应 URL」，输入自定义错误模板路径（如/error/session-timeout.html），并勾选「将现有响应替换为以下响应」
• 确保自定义错误模板所在目录允许匿名访问，避免触发二次认证循环

3. 应用层拦截（可选，针对.NET/Java等应用） #

如果你的业务应用有自定义认证逻辑，可直接在代码中检测Shibboleth会话状态：
以ASP.NET为例，在Global.asax的Application_AuthenticateRequest事件中添加检测：

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
    // 检测Shibboleth会话过期标识
    if (!string.IsNullOrEmpty(Request.ServerVariables["HTTP_SHIB_SESSION_EXPIRED"]))
    {
        Response.Redirect("/error/session-timeout.html");
        Response.End();
    }
}

验证步骤 #

1. 重启Shibboleth服务和IIS站点
2. 手动设置短会话超时（如timeout="60"），等待会话过期后访问应用
3. 确认页面跳转到自定义错误模板，而非IDP登录页

内容的提问来源于stack exchange，提问作者Premnath Thavamani