如何在Streamlit中创建OneLogin SSO认证的有效Request对象

问题根源 #

你遇到的SAML Response not found, Only supported HTTP_POST Binding错误，核心原因是登录流程逻辑错误：直接调用auth.process_response()但此时没有任何来自OneLogin IdP的SAML响应数据，且Streamlit的request对象构建不符合python-saml的要求。

Flask里的request对象包含当前HTTP请求的完整上下文（GET/POST参数、主机信息等），但Streamlit是状态驱动的单页应用，没有原生路由request对象，需要手动构建适配的请求上下文，同时要遵循标准SAML登录流程：

1. 未登录时，生成OneLogin IdP的跳转URL，引导用户完成身份验证
2. 用户登录后，IdP会通过POST请求将SAML Response发送到你的Streamlit应用（ACS地址）
3. 应用解析并验证SAML Response，完成登录状态的存储

解决方案 #

1. 构建适配Streamlit的SAML Request对象 #

实现函数从Streamlit上下文提取GET/POST参数、主机信息，生成符合python-saml要求的request字典：

from urllib.parse import parse_qsl

def prepare_streamlit_request():
    # 提取GET参数
    get_data = st.query_params.to_dict()
    
    # 提取POST参数（IdP回调时的SAML Response会通过POST发送）
    post_data = {}
    try:
        request_body = st.experimental_get_request_body().decode("utf-8")
        post_data = dict(parse_qsl(request_body))
    except:
        pass  # 非POST请求时忽略
    
    return {
        "https": "off",  # 生产环境改为"on"
        "http_host": "127.0.0.1:8501",  # 替换为你的Streamlit应用地址
        "script_name": "/",
        "get_data": get_data,
        "post_data": post_data,
    }

2. 修正完整登录流程 #

调整代码逻辑，遵循SAML标准流程，用Streamlit的session_state管理登录状态：

import streamlit as st
import os
from onelogin.saml2.auth import OneLogin_Saml2_Auth
from onelogin.saml2.settings import OneLogin_Saml2_Settings
from urllib.parse import parse_qsl

# 构建Streamlit适配的SAML Request
def prepare_streamlit_request():
    get_data = st.query_params.to_dict()
    post_data = {}
    try:
        request_body = st.experimental_get_request_body().decode("utf-8")
        post_data = dict(parse_qsl(request_body))
    except:
        pass
    return {
        "https": "off",
        "http_host": "127.0.0.1:8501",
        "script_name": "/",
        "get_data": get_data,
        "post_data": post_data,
    }

# 初始化SAML配置
saml_folder = os.path.join(os.path.dirname(os.path.abspath(__file__)), "saml")
settings = OneLogin_Saml2_Settings(custom_base_path=saml_folder)
req = prepare_streamlit_request()
auth = OneLogin_Saml2_Auth(req, settings)

# 初始化会话状态
if "samlUserdata" not in st.session_state:
    st.session_state["samlUserdata"] = None

# 处理IdP回调的SAML Response
if "SAMLResponse" in req["post_data"]:
    auth.process_response()
    errors = auth.get_errors()
    
    if not errors:
        if auth.is_authenticated():
            st.session_state["samlUserdata"] = auth.get_attributes()
            st.rerun()  # 刷新页面加载已登录状态
        else:
            st.error("身份验证失败")
    else:
        st.error(f"SAML响应处理错误: {', '.join(errors)}")

# 已登录状态展示
if st.session_state["samlUserdata"]:
    st.subheader("用户信息")
    for attr_name, attr_values in st.session_state["samlUserdata"].items():
        st.write(f"**{attr_name}**: {' || '.join(attr_values)}")
    
    if st.button("退出登录"):
        logout_url = auth.logout()
        st.session_state["samlUserdata"] = None
        # 自动跳转到OneLogin注销页面
        st.markdown(f'<meta http-equiv="refresh" content="0; url={logout_url}">', unsafe_allow_html=True)
else:
    # 未登录状态展示登录按钮
    if st.button("登录"):
        # 生成OneLogin IdP的登录跳转URL
        login_url = auth.login()
        # 自动跳转到IdP完成登录
        st.markdown(f'<meta http-equiv="refresh" content="0; url={login_url}">', unsafe_allow_html=True)

3. 关键配置注意事项 #

• ACS地址配置：在OneLogin控制台的SAML应用设置中，将Assertion Consumer Service (ACS) URL设置为你的Streamlit应用地址（如http://127.0.0.1:8501）
• Streamlit XSRF保护：开发环境下需要在.streamlit/config.toml中添加以下配置，避免IdP的POST请求被拦截：

  [server]
  enableXsrfProtection = false
  

• HTTPS设置：生产环境下将prepare_streamlit_request中的https改为"on"，并确保应用使用HTTPS协议

内容的提问来源于stack exchange，提问作者lunchbox7804