Azure端注销用户后SAML2会话仍留存问题咨询

算力阿峰

2026-9-24

根本原因

你遇到的是SAML2协议单点注销（SLO）不同步的典型问题：$as->requireAuth()默认仅校验SimpleSAMLphp在应用侧存储的本地会话，不会实时请求Azure IdP校验登录状态。你在Azure端注销的只是IdP侧的用户会话，没有触发SP（你的应用侧）的本地会话销毁，所以只要本地会话还存活，requireAuth()就会判定用户处于登录状态，直到浏览器关闭销毁会话cookie、或者本地会话自动过期。

排查步骤

检查SimpleSAMLphp单点注销开关配置
查看config/config.php中的enable.saml20-sp-slo配置项，确认值为true，部分版本的SimpleSAMLphp默认会关闭SLO功能。
核对Azure AD侧的注销回调地址配置
进入Azure AD对应企业应用的「单点登录」配置页，检查「注销URL（Logout URL）」是否正确填写了SimpleSAMLphp的SLO回调地址，标准格式为https://<你的应用域名>/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp。Azure在用户注销时会向这个地址发送SLO请求，通知SP销毁对应用户的本地会话。
校验本地会话存储配置
查看config/config.php中的store.type配置，如果使用默认的phpsession存储，检查php.ini中会话过期时间session.gc_maxlifetime的设置，避免因过期时间过长导致本地会话长期存活。
验证SLO请求链路是否正常
在Azure端触发用户注销时抓包，确认Azure确实向你配置的注销回调地址发送了SAML类型的POST请求，同时检查SimpleSAMLphp的日志，确认收到请求后正确销毁了对应用户的本地会话。

解决方案

标准修复：补全SLO全链路配置
按照上述排查出的配置缺失项补全配置，确保Azure端注销时能正常触发SP侧的会话销毁。配置完成后测试：在Azure端注销用户后刷新应用页，requireAuth()检测到本地会话已销毁，会自动跳转至Azure登录页。
高安全场景加固：强制实时校验IdP会话状态
如果你的业务对登录状态的实时性要求极高，可以修改requireAuth()的传参，强制每次校验时向Azure发起无感知的被动认证，实时同步IdP侧的登录状态：
```
$as = new \SimpleSAML\Auth\Simple('default-sp');
$as->requireAuth([
    'isPassive' => true,
    'ForceAuthn' => false
]);
```
该配置下，即便本地会话存在，SimpleSAMLphp也会向Azure发送隐式认证请求，如果Azure侧用户已注销，会直接返回认证失败，触发应用跳转到登录页。注意该方案会增加额外的跨域请求开销，建议仅在安全等级要求高的场景使用。

内容的提问来源于stack exchange，提问作者Lorenzo Correa