如何无需用户交互重新登录即可正确刷新Spring Boot应用的SAML令牌

首先明确：SAML的工作机制没有强制要求断言到期后用户必须手动重新登录，你可以在不修改Azure AD侧SAML断言默认1小时有效期的前提下，实现最长匹配Azure AD用户会话有效期的无感知续登（通常默认可达24小时）。

你之前方案报错的原因 #

你同时使用IsPassive和ForceAuthn参数属于逻辑冲突：

• IsPassive=true要求IDP不得弹出任何用户交互界面，静默完成身份验证
• ForceAuthn=true要求IDP必须强制用户重新走身份认证流程，必然触发交互

两个参数同时传递会被Azure AD判定为非法请求，另外你遇到的AADSTS50058错误还有一个常见触发场景：用户在Azure AD侧的登录会话已经失效/已登出，此时静默请求自然无法完成。

可落地的实现方案 #

1. 修正SAML认证请求参数 #

后续触发续登的SAML AuthnRequest仅携带IsPassive=true，移除ForceAuthn参数。只要用户在Azure AD侧还有效的登录会话（Azure AD默认用户会话有效期远长于SAML断言的1小时），Azure AD会自动返回全新的有效期1小时的SAML断言，全程无用户交互、无登录页跳转。

2. 调整Spring Boot侧会话逻辑 #

基于Spring Security SAML的默认逻辑做两处修改：

• 本地会话有效期设置为你期望的最长登录时长（例如24小时），不要直接将SAML断言的NotOnOrAfter属性作为本地会话的过期时间
• 新增断言有效期检查逻辑：每次用户发起请求时，或者每间隔55分钟（略短于1小时的断言有效期），主动判断当前关联的SAML断言是否即将到期，若即将到期则自动触发上述带IsPassive=true的SAML认证请求，拿到新断言后更新本地会话绑定的断言信息即可

如果静默请求返回AADSTS50058错误，说明用户Azure AD侧会话已失效，再正常重定向到登录页即可，属于正常边界情况。

不推荐的替代方案 #

你也可以选择直接关闭SP侧对SAML断言NotOnOrAfter属性的校验，本地会话只要用户活跃就自动续期。该方案无需对接IDP发起续登请求，但安全合规风险较高，等于SP侧完全忽略IDP的断言有效期安全策略，仅建议内部非敏感系统考虑。

内容的提问来源于stack exchange，提问作者Panda