基于SustainSys.Saml2的.NET Framework4.8 WebForms SAML2认证集成问题

1. SustainSys库是否依赖.NET Identity系统？ #

SustainSys.Saml2不依赖.NET Identity，web.config中出现的身份模块属于ASP.NET传统Forms认证体系，和.NET Identity无关。库可以完全独立于.NET Identity实现SAML单点登录功能。

2. 不依赖.NET Identity时，如何验证SAML包有效性、提取断言属性并完成用户登录？ #

• SAML包有效性验证：库会自动完成核心验证逻辑，包括签名合法性、断言有效期、受众（Audience）匹配等，只要你在web.config中正确配置了Azure IDP的公钥（可通过Azure元数据地址自动加载），无需手动编写验证代码。
• 提取断言属性：在ACS页面的后台代码中，通过Saml2AuthenticationModule.Current获取Saml2AuthenticationResult对象，其ClaimsIdentity.Claims集合包含了SAML断言中的所有属性。示例代码：

var result = Saml2AuthenticationModule.Current.ReadSamlResponse(Context);
var email = result.ClaimsIdentity.FindFirst(System.Security.Claims.ClaimTypes.Email)?.Value;
var userId = result.ClaimsIdentity.FindFirst(System.Security.Claims.ClaimTypes.NameIdentifier)?.Value;

• 完成用户登录：使用ASP.NET传统Forms认证机制创建登录票据并写入Cookie，让ASP.NET识别用户身份。示例代码：

// 基于提取的属性创建Forms认证票据
var authTicket = new FormsAuthenticationTicket(
    version: 1,
    name: userId,
    issueDate: DateTime.Now,
    expiration: DateTime.Now.AddHours(8),
    isPersistent: false,
    userData: email // 可存储额外用户信息
);
// 加密票据并写入Cookie
string encryptedTicket = FormsAuthentication.Encrypt(authTicket);
Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket));
// 重定向到默认首页
Response.Redirect(FormsAuthentication.DefaultUrl);

3. 收到的Saml2.cookie来源是哪里？ #

Saml2.cookie是SustainSys.Saml2库生成的，用于存储SAML会话的状态信息（比如请求ID、会话上下文等），并非Azure直接返回的Cookie。Azure仅会向ACS页面发送SAML响应报文，不会直接在你的应用域下设置Cookie。

4. ACS页面加载时无SustainSys日志输出，仅AuthNRequest阶段有日志？ #

• 检查web.config的日志配置，确保SustainSys.Saml2.WebSso命名空间的日志级别设置为Debug或Verbose，否则ACS阶段的日志可能被过滤。
• 确认ACS页面的后台代码中是否调用了SustainSys.Saml2.WebSso.Saml2AuthenticationModule.Current.ProcessRequest(Context)，如果未调用该方法，库不会处理SAML响应请求，自然不会输出日志。
• 结合你补充的情况（能解码SAML包但用户未认证），核心问题大概率是ACS页面未执行Forms认证的登录票据写入操作，导致ASP.NET未识别用户身份，完成第二步中的登录代码即可解决。

内容的提问来源于stack exchange，提问作者Phil