如果 SP 侧在旧证书过期后才刷新元数据，或元数据缓存未及时失效，AD FS 的签名验证就会失败。