.NET Core 2.1中ITFoxTec SAML与本地Cookie认证能否共存并独立使用？

核心问题 #

services.AddSaml2()默认会将SAML认证设为默认认证方案，同时添加同名Cookie认证配置，直接覆盖了你原本的本地Cookie设置。要让两种登录方式独立工作，核心是给两个认证方案分配不同的Scheme名称，明确区分各自的Cookie配置，按需指定使用场景。

具体实现步骤 #

1. 配置独立的本地Cookie认证 #

先保留你的本地Cookie逻辑，给它指定专属的Scheme名称（比如LocalCookieAuth），不依赖默认Scheme：

services.AddAuthentication(options => {
    // 可选：将本地Cookie设为默认认证方案（适配大多数页面的登录需求）
    options.DefaultAuthenticateScheme = "LocalCookieAuth";
    options.DefaultChallengeScheme = "LocalCookieAuth";
})
.AddCookie("LocalCookieAuth", opts => {
    opts.LoginPath = new PathString("/Account/Login");
    opts.SlidingExpiration = true;
    opts.ExpireTimeSpan = TimeSpan.FromDays(21);
    // 其他本地Cookie自定义配置
});

2. 配置独立的SAML 2.0认证 #

调用ITFoxTec扩展时，指定SAML专属的Scheme（默认是Saml2Constants.AuthenticationScheme，即Saml2），并自定义其Cookie配置，确保和本地Cookie完全隔离：

// 在已有的AddAuthentication链后添加SAML认证
.AddSaml2("Saml2", samlOptions => {
    // 配置SAML核心参数（SP实体ID、IdP元数据等）
    samlOptions.SPOptions = new SPOptions {
        EntityId = new EntityId("https://your-sp-domain.com/saml2"),
        ReturnUrl = new Uri("https://your-sp-domain.com/Saml2/Acs"),
    };
    // 加载IdP元数据示例
    samlOptions.IdentityProviders.Add(new IdentityProvider(
        new EntityId("https://your-idp-domain.com/metadata"), samlOptions.SPOptions) {
        LoadMetadata = true,
    });
}, cookieOptions => {
    // 自定义SAML对应的Cookie配置，与本地Cookie完全独立
    cookieOptions.LoginPath = new PathString("/Saml2/Login");
    cookieOptions.SlidingExpiration = true;
    cookieOptions.Cookie.Name = "Saml2AuthCookie"; // 给SAML Cookie单独命名，避免冲突
});

3. 处理两种登录逻辑 #

• 本地登录：在/Account/Login接口中，验证用户后指定本地Scheme完成登录：

await HttpContext.SignInAsync("LocalCookieAuth", authenticatedUserPrincipal);

• SAML登录：在SAML登录接口中，触发SAML认证流程，指定SAML Scheme：

public IActionResult Saml2Login()
{
    return new Saml2ChallengeResult(new AuthenticationProperties { RedirectUri = "/" }, "Saml2");
}

4. 授权时灵活指定方案（可选） #

如果部分页面需要支持两种登录方式，可在[Authorize]属性中同时指定多个Scheme：

[Authorize(AuthenticationSchemes = "LocalCookieAuth,Saml2")]
public IActionResult ProtectedPage()
{
    // 页面业务逻辑
}

关键注意事项 #

• 确保两个认证方案的Cookie名称不同，避免浏览器端Cookie冲突；
• 手动控制默认认证方案，不要依赖AddSaml2()的自动设置；
• 两种认证的登录路径、过期时间等配置完全独立，互不干扰。

内容的提问来源于stack exchange，提问作者SkyeBoniwell