SAML 2.0规范是否管控IdP会话处理？相关合规性问询

核心结论1：会话维护与Cookie权限由身份提供商自主决定 #

是的，SAML规范将以下权限完全交由身份提供商（IdP）自行决策：

• 会话的维护策略（包括是否维护会话、会话的启动/终止时机）
• 向浏览器颁发会话Cookie的逻辑

依据你引用的规范内容：

若ForceAuthn<AuthnRequest>属性存在且值为true，则要求身份提供商重新验证用户身份，而非依赖与主体已有的会话。
规范仅明确了ForceAuthn=true时的验证要求，但未定义IdP如何管理自身会话的生命周期；
假定用户使用标准商用浏览器，并可通过SAML范围外的某种方式向身份提供商进行身份验证。
此表述直接说明用户预验证的机制属于SAML规范覆盖范围之外，IdP可自主实现；
指定一个时间点，在此时间点之后，主体与颁发此声明的SAML权威之间的会话必须被视为已终止。
SessionNotOnOrAfter<AuthnStatement>仅定义了会话的强制终止时间，但对重新验证失败这类边缘场景的会话处理，规范未做约束，决定权在IdP手中。

核心结论2：强制每次登录输入密码符合规范要求 #

身份提供商强制用户在每次登录流程中都输入密码，完全符合SAML规范。

SAML规范仅对ForceAuthn=true这类特定场景做了重新验证的强制要求，但从未限制IdP在无该属性要求时，必须依赖已有会话跳过验证。IdP可根据自身安全策略，选择不维护长期会话，或者每次都要求用户重新输入凭证，这属于规范允许的自主实现范围。

内容的提问来源于stack exchange，提问作者Heiko Theißen