跨内外域导航场景下SAML SSO会话过期实现方案咨询

针对第一个问题：无重定向触发IDP侧会话失效的可行性 #

首先明确结论：没有任何符合SAML 2.0规范、同时适配Azure AD的无跳转会话销毁方案。
所有IDP（包括Azure AD）的会话cookie都存储在IDP自身的域下，受浏览器同源策略保护，第三方业务域没有权限直接读写、删除这些cookie。所有SLO（单点登出）流程本质都是让用户浏览器向IDP域发起合法请求，由IDP自己清除域下的会话cookie，这个过程必须经过浏览器对IDP域的请求，没有绕过的捷径。
可落地的替代方案如下：

• 不要把IDP侧会话作为自有系统的唯一鉴权依据，在自有服务层增加独立的会话校验逻辑。后端存储的自有会话cookie设置SameSite=Lax属性，有效期设为10-15分钟，用户在自有域内跳转、操作时自动续期；一旦用户离开自有域，自有会话不会被续期，过期后就算浏览器留存了Azure AD的会话缓存，后端也会直接拦截请求，要求重新完成身份校验，不需要主动去清除IDP侧的会话。
• 如果必须同步清除IDP侧会话，不要在页面卸载阶段发起SLO请求。可以在检测到外域跳转行为时，先跳转至一个无感知的自有域中间过渡页，在过渡页中嵌入隐藏iframe加载Azure AD的SLO地址，待iframe加载完成（IDP会话已销毁）后再自动跳转至目标外域，整个过程耗时通常在300ms以内，用户几乎无感知，也不会出现页面卸载导致请求被取消的问题。

针对第二个问题：beforeunload事件获取目标URL的可行性 #

明确结论：完全不可行。
浏览器出于隐私安全考虑，在beforeunload事件触发时不会向页面JS暴露用户即将导航的目标URL，你无法在这个事件回调中区分用户是跳转至自有域还是外部域，自然没法针对性执行不同的会话逻辑。
可落地的域间跳转判断方案如下：

• 拦截页面内所有可控的跳转行为做前置判断：
  • 全局监听所有<a>标签的点击事件，触发时读取标签的href属性，判断目标地址归属：如果是自有域集合内的地址就直接放行，如果是外域就先执行会话失效逻辑再放行跳转；
  • 封装全局的路由跳转、window.location赋值、window.open调用方法，所有业务代码的跳转都走统一封装，在封装层做目标地址判断和逻辑分支处理。
• 针对不可控的跳转场景（比如用户直接在浏览器地址栏输入外域地址、点击浏览器书签跳转、关闭标签页），用短会话+心跳机制兜底：前端在页面活跃状态下每隔3-5分钟向后端发送心跳请求，后端收到心跳就给对应自有会话续期；如果连续2个心跳周期没有收到对应会话的请求，后端直接将该会话标记为失效。即使用户之后带着未清除的Azure AD缓存访问自有域，后端校验到自有会话已失效，也不会直接放行登录，会先触发SLO流程清除残留IDP会话，再引导用户重新认证。

针对缓存自动登录问题的补充解法 #

针对「删除后端会话后，浏览器留存IDP缓存自动完成认证」的问题，只需要在后端SAML断言回调接口加一层校验即可：收到IDP返回的有效断言后，不要直接下发自有系统登录态，先校验对应账号当前是否存在有效的自有会话、以及该会话的状态是否为正常，如果校验不通过，直接主动发起SLO请求清除IDP侧残留会话，再重新引导用户走认证流程，从根源上绕过缓存自动登录的问题。

内容的提问来源于stack exchange，提问作者sonu.Shiva