第三方IdP返回无过期时间的SAML响应，认证时效如何？

结论不是绝对的，核心取决于你的服务端实现以及第三方IdP的配套机制

• 从SAML协议规范层面，虽然协议推荐断言（Assertion）携带NotOnOrAfter这类过期字段来限定认证有效期，但并没有强制要求。如果IdP返回的响应完全没有过期时间字段，从协议逻辑来说，服务端可以认定该认证会话持续有效，直到用户主动触发登出操作。
• 但实际生产环境中，为了避免无限期认证带来的安全风险，很多服务端会自行兜底设置默认的会话有效期。比如你的API服务在接收到无过期时间的SAML令牌时，可以自动为会话附加一个默认有效期（例如24小时），到期后强制用户重新完成认证流程。
• 另外还要考虑IdP的会话管控：即便SAML令牌没有过期，若用户在IdP端主动执行登出，且你的服务与IdP配置了SLO（单点登出）机制，那么你的系统内的用户认证状态也会同步失效，不会持续保留。

内容的提问来源于stack exchange，提问作者BigTailWolf