如何为ITfoxtec.Identity.Saml2的认证请求添加额外参数

要向IDP的SSO请求地址添加partnerspid和acsidx参数，你可以通过修改SAML配置中的单点登录地址，或者在发起认证请求时动态拼接参数来实现，以下是具体方案：

1. 在配置文件中添加参数 #

首先在appsettings.json的SamlAuth节点下添加所需参数：

"SamlAuth": {
  "Issuer": "你的SP发行方ID",
  "IdPMetadata": "https://my.oid.provider.com/idp/metadata",
  "PartnerSpID": "abc",
  "AcsIdx": "1"
}

2. 配置阶段拼接参数（推荐） #

在SAML配置初始化时，直接将参数拼接至IDP的SSO地址中，这样后续发起SSO请求时会自动使用带参数的地址：

IServiceCollection services = ...

services.AddRazorPages();
services.Configure<Saml2Configuration>(Configuration.GetSection("SamlAuth"));

services.Configure<Saml2Configuration>(saml2Configuration =>
{
    saml2Configuration.AllowedAudienceUris.Add(saml2Configuration.Issuer);

    var entityDescriptor = new EntityDescriptor();
    entityDescriptor.ReadIdPSsoDescriptorFromUrl(new Uri(Configuration["SamlAuth:IdPMetadata"]));

    if (entityDescriptor.IdPSsoDescriptor != null)
    {
        var baseSsoLocation = entityDescriptor.IdPSsoDescriptor.SingleSignOnServices.First().Location;
        
        // 使用ASP.NET Core的QueryHelpers安全添加查询参数
        var ssoUrlWithParams = Microsoft.AspNetCore.WebUtilities.QueryHelpers.AddQueryString(
            baseSsoLocation,
            new Dictionary<string, string>
            {
                { "partnerspid", Configuration["SamlAuth:PartnerSpID"] },
                { "acsidx", Configuration["SamlAuth:AcsIdx"] }
            });
        
        saml2Configuration.SingleSignOnDestination = ssoUrlWithParams;
        saml2Configuration.SignatureValidationCertificates.AddRange(entityDescriptor.IdPSsoDescriptor.SigningCertificates);
    }
    else
    {
        // 快速失败处理
        throw new InvalidOperationException("无法从元数据中获取IDP SSO描述符");
    }
});

services.AddSaml2();

3. 发起SSO时动态拼接参数 #

如果需要在发起认证请求时动态调整参数，可以在Login页面/接口中修改认证请求的Destination地址：

public async Task<IActionResult> OnGetAsync(string relayState)
{
    var saml2Config = HttpContext.RequestServices.GetRequiredService<IOptions<Saml2Configuration>>().Value;
    var config = HttpContext.RequestServices.GetRequiredService<IConfiguration>();

    // 拼接带参数的SSO地址
    var ssoUrlWithParams = Microsoft.AspNetCore.WebUtilities.QueryHelpers.AddQueryString(
        saml2Config.SingleSignOnDestination,
        new Dictionary<string, string>
        {
            { "partnerspid", config["SamlAuth:PartnerSpID"] },
            { "acsidx", config["SamlAuth:AcsIdx"] }
        });

    var authnRequest = new Saml2AuthnRequest(saml2Config)
    {
        RelayState = relayState,
        Destination = ssoUrlWithParams
    };

    var binding = new Saml2RedirectBinding();
    binding.SetRelayStateQuery(Request.Query);
    return binding.Bind(authnRequest).ToActionResult();
}

注意事项 #

• 使用QueryHelpers可以避免手动拼接URL时的编码问题，确保参数传递正确。
• 如果IDP的元数据更新（比如SSO地址变更），配置阶段的方案会自动重新获取并拼接参数，无需额外修改代码。
• 确认IDP支持在SSO请求URL中传递这些参数，部分IDP可能要求参数嵌入SAML断言中（这种情况需要扩展SAML请求的属性，需参考IDP文档调整）。

内容的提问来源于stack exchange，提问作者Jason