.NET Core 2.1添加SAML登录遇认证方案错误，求解决

错误提示明确说明你没有为saml2方案注册对应的登录认证处理器，当前仅配置了Cookie认证，需补充SAML2认证处理器的注册配置。

1. 添加SAML2配置参数 #

先在appsettings.json中配置身份提供者（IdP）和服务提供者（SP）的核心参数，根据你的实际IdP信息调整：

"Saml2": {
  "IdPMetadataLocation": "https://你的IdP地址/metadata",
  "Issuer": "你的应用唯一标识",
  "SignatureAlgorithm": "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256",
  "SigningCertificateFile": "Certificates/你的签名证书.pfx",
  "SigningCertificatePassword": "证书密码",
  "CertificateValidationMode": "ChainTrust",
  "RevocationMode": "NoCheck"
}

2. 在Startup.cs中注册SAML2认证处理器 #

修改ConfigureServices方法，添加SAML2认证服务的注册，确保指定正确的认证方案和关联的Cookie登录方案：

using Itfoxtec.Identity.Saml2;
using Itfoxtec.Identity.Saml2.MvcCore;
using Microsoft.AspNetCore.Authentication.Cookies;
using System.Security.Cryptography.X509Certificates;

public static string AuthenticationScheme => CookieAuthenticationDefaults.AuthenticationScheme;
public const string Saml2Scheme = "saml2";

public IServiceProvider ConfigureServices(IServiceCollection services)
{
    services.AddOptions();

    // 绑定并初始化SAML2配置
    var saml2Config = new Saml2Configuration();
    Configuration.GetSection("Saml2").Bind(saml2Config);
    // 加载签名证书（用于向IdP发送签名请求）
    saml2Config.SigningCertificate = new X509Certificate2(
        Path.Combine(AppContext.BaseDirectory, saml2Config.SigningCertificateFile), 
        saml2Config.SigningCertificatePassword);
    services.AddSingleton(saml2Config);

    // 注册认证服务，同时包含Cookie和SAML2处理器
    services.AddAuthentication(AuthenticationScheme)
        .AddCookie(opts => {
            opts.LoginPath = new PathString("/Account/Login");
            opts.Cookie.SecurePolicy = NavConfig.RequireHttps ? CookieSecurePolicy.Always : CookieSecurePolicy.SameAsRequest;
            opts.Cookie.HttpOnly = true;
            opts.ExpireTimeSpan = TimeSpan.FromDays(7);
        })
        // 添加SAML2认证处理器，指定登录后使用Cookie方案
        .AddSaml2(Saml2Scheme, opts => {
            opts.SignInScheme = AuthenticationScheme;
            opts.Saml2Configuration = saml2Config;
        });

    // 其他服务配置...
    return services.BuildServiceProvider();
}

3. 修正回调方法的认证方案使用 #

在AuthController的AssertionConsumerService方法中，确保使用saml2方案处理SAML响应，并完成Cookie登录：

[HttpPost]
public async Task<IActionResult> AssertionConsumerService()
{
    var binding = new Saml2PostBinding();
    var saml2AuthnResponse = new Saml2AuthnResponse(HttpContext.RequestServices.GetRequiredService<Saml2Configuration>());

    binding.ReadSamlResponse(Request.ToGenericHttpRequest(), saml2AuthnResponse);
    if (saml2AuthnResponse.Status != Saml2StatusCodes.Success)
    {
        throw new InvalidOperationException($"SAML认证失败: {saml2AuthnResponse.StatusMessage}");
    }

    // 从SAML响应中创建用户身份
    var claimsIdentity = new ClaimsIdentity(saml2AuthnResponse.Claims, Saml2Scheme);
    var claimsPrincipal = new ClaimsPrincipal(claimsIdentity);

    // 使用Cookie方案完成登录
    await HttpContext.SignInAsync(AuthenticationScheme, claimsPrincipal);

    return RedirectToAction("Index", "Home");
}

核心要点 #

• Saml2Scheme常量必须定义为saml2，与错误提示中的方案名完全匹配，确保处理器注册和使用一致。
• AddSaml2时指定SignInScheme为已有的Cookie认证方案，实现SAML认证成功后自动生成用户会话Cookie。
• 务必保证appsettings.json中的IdP元数据地址、签名证书路径及密码正确，否则会触发签名验证失败等后续错误。

内容的提问来源于stack exchange，提问作者SkyeBoniwell