SP侧存在用户活动时维持SAML IdP会话的实现方案咨询

完全可以实现，以下是3种行业内成熟的落地方案：

这是完全符合SAML2官方规范的实现方式，不需要自定义协议扩展，兼容性最高：

• 核心逻辑：SP侧每检测到用户活动（页面访问、操作交互、接口请求均可），就在后台静默向IdP发送SAML2 <AuthnRequest> 请求，必须将请求中的IsPassive属性设置为true，避免触发用户可见的跳转或弹窗。
• IdP侧适配要求：收到IsPassive="true"的请求时，不需要走完整的断言下发流程，仅校验当前用户是否持有有效的IdP会话，校验通过后直接刷新该会话的有效期，返回空成功响应即可。
• 兼容范围：适配所有主流商业/开源IdP产品（Keycloak、Okta、Azure AD、Shibboleth等均默认支持被动认证请求处理）。

适合快速落地、不需要修改SAML核心流程的场景：

• 核心逻辑：用户完成SAML登录跳转回SP后，SP在所有业务页面嵌入1个高度宽度为0的隐藏iframe，iframe的src指向IdP提供的会话保活静态页。SP侧检测到用户活动后，触发iframe刷新一次，即可同步刷新IdP侧的会话有效期。
• 适配要求：IdP侧需要配置保活页面的跨域嵌入权限，解除X-Frame-Options的同源限制，或在CSP规则中允许对应SP域名嵌入页面。保活页面无需返回可见内容，仅需要执行会话刷新逻辑即可。

适合SP和IdP均为自研、需要定制化保活逻辑的场景：

• 核心逻辑：在SAML断言下发阶段，IdP额外返回当前用户的SAML会话ID给SP。SP侧检测到用户活动时，后台向IdP的自定义保活接口发送请求，携带用户的会话ID做校验，IdP校验通过后直接刷新对应会话的有效期。
• 适配要求：需要SP和IdP两边同步开发自定义扩展逻辑，不适合使用第三方商用IdP的场景。

• 保活请求的触发频率需要和IdP的会话过期时间匹配，例如IdP会话默认30分钟过期，建议保活请求间隔设置为25分钟，避免出现会话过期的时间差。
• 所有保活请求需要绑定当前登录用户的上下文，避免出现冒用会话ID刷新他人会话的安全问题。

内容的提问来源于stack exchange，提问作者Ibtissem