如何在无人值守计算机上模拟SAML/SSO认证并自动续期会话

所需采集信息 #

目标服务端侧 #

• 待访问的受保护资源URL：用于触发重定向逻辑，判断当前会话是否失效
• 重定向响应规则：采集会话失效时服务端返回302/303状态码对应的Location响应头格式，提取跳转至login.microsoft.com时携带的所有OIDC标准查询参数，包括client_id、redirect_uri、response_type、scope、state、nonce等
• 会话cookie属性：确认有效会话cookie的键名、Domain、Path、SameSite属性，确保后续请求可以正确携带

微软IDP侧 #

• 身份认证凭据：若为密码登录场景，采集对应用户的用户名、密码；若启用MFA，提前获取TOTP动态验证码的生成密钥
• 登录提交规则：从login.microsoft.com的登录页HTML中提取登录请求的POST接口地址，以及所需提交的动态字段（通常包含ctx、flowToken等时效字段，每次登录需要重新提取）
• 回调交互规则：确认微软IDP认证完成后跳转回目标站点时携带的授权码code的传递方式，以及目标站点用授权码换取会话cookie的接口逻辑

自动续期流程 #

• 每次请求前校验本地存储的会话cookie有效期，未过期则直接携带cookie访问目标资源
• 若cookie已失效，先访问目标受保护资源触发重定向，获取完整的微软IDP认证请求参数
• 向微软IDP提交身份凭据（包含动态生成的MFA验证码，如有需要）完成认证，获取返回的授权码code
• 将授权码提交到目标站点的回调接口，换取新的会话cookie存储到本地
• 建议每10分钟主动触发一次续期操作，避免间隔超过1小时导致会话完全失效，需要重新走完整认证流程

注意事项 #

• 敏感凭据不要硬编码在代码中，建议通过加密的环境变量存储
• 保持请求的User-Agent、Accept等头字段和浏览器访问时的配置一致，避免触发站点的反爬策略
• 企业内部场景优先向IT管理员申请应用服务主体权限，通过客户端凭据流直接获取访问令牌，比模拟用户登录的稳定性更高

内容的提问来源于stack exchange，提问作者JSWilson