.NET Framework 4.7.2中Sustainsys未触发IDP的SAML认证调用问题

针对你遇到的生产环境Sustainsys SAML认证未触发的问题，可按以下步骤排查：

• 确认OWIN中间件初始化逻辑
  .NET Framework MVC下的Sustainsys.Saml.Mvc依赖OWIN管道，检查项目的Startup.cs（或Global.asax.cs中的OWIN初始化代码）是否正确注册了SAML认证中间件：

  public void Configuration(IAppBuilder app)
  {
      var samlOptions = new Saml2AuthenticationOptions();
      samlOptions.SPOptions.EntityId = new EntityId("你的生产环境实体ID");
      // 其他配置或从web.config读取
      app.UseSaml2Authentication(samlOptions);
  }
  

  同时确认生产环境已安装Microsoft.Owin.Host.SystemWeb包，这个包是OWIN在IIS集成模式下运行的必要依赖，缺失会导致中间件无法加载。

• 检查IIS应用池托管模式
  生产环境应用池的托管管道模式必须设置为「集成模式」，经典模式下OWIN中间件无法正常注入请求管道，会直接跳过SAML认证流程。对比测试环境的应用池配置，确保一致。

• 启用Sustainsys调试日志
  在web.config中添加日志配置，输出详细运行日志，定位初始化或认证流程中的隐藏问题：

  <configuration>
    <system.diagnostics>
      <sources>
        <source name="Sustainsys.Saml2" switchValue="Verbose">
          <listeners>
            <add name="samlLog" type="System.Diagnostics.TextWriterTraceListener" initializeData="D:\Logs\saml2.log" />
          </listeners>
        </source>
      </sources>
      <trace autoflush="true" />
    </system.diagnostics>
  </configuration>
  

  触发认证流程后查看日志，重点关注初始化阶段是否有配置读取失败、依赖缺失等信息。

• 验证认证触发逻辑与URL配置

  • 检查生产环境中触发认证的代码（比如带[Authorize]属性的Action）是否与测试环境一致，是否存在额外的路由规则或URL重写导致认证请求路径被篡改。
  • 确认web.config中entityId、returnUrl等配置项使用的是生产环境的正确域名，IDP侧的回调URL也需匹配生产环境地址。

• 检查部署的程序集完整性
  登录生产服务器，确认bin目录下存在所有Sustainsys相关程序集：Sustainsys.Saml2.dll、Sustainsys.Saml2.Mvc.dll、Sustainsys.Saml2.Owin.dll等，且版本均为2.9.2。同时检查web.config中的程序集绑定重定向是否正确，避免版本冲突导致程序集加载失败。

• 核对IIS身份验证设置
  生产环境应用的IIS身份验证需启用「匿名身份验证」，禁用其他不必要的身份验证（比如Windows身份验证）。如果启用了Windows身份验证，IIS会优先触发该流程，跳过SAML认证。

• 排查反向代理/负载均衡影响
  若生产环境使用反向代理或负载均衡，需确保代理传递了X-Forwarded-Proto、X-Forwarded-Host等请求头，Sustainsys依赖这些头生成正确的回调URL和请求地址。缺失这些头会导致Sustainsys无法识别当前请求的正确上下文，从而跳过认证跳转。

内容的提问来源于stack exchange，提问作者jessiebot