如何在ASP.NET Core 8.0 Web API中集成ITFoxtec.Identity.Saml2？

一、完善 Program.cs 中的 SAML2 配置 #

以下是补全后的完整配置代码，包含你缺失的关键项：

var builder = WebApplication.CreateBuilder(args);

// 添加 SAML2 服务配置
builder.Services.AddSaml2(options =>
{
    // 配置服务提供商(SP)核心信息
    options.SPOptions.EntityId = new EntityId("https://localhost:7003/saml2"); // 替换为你的SP唯一实体ID（完整URI格式）
    options.SPOptions.ReturnUrl = new Uri("https://localhost:7003/signin-saml"); // SAML登录回调URL
    options.SPOptions.SingleSignOnServiceUrl = new Uri("https://localhost:7003/signin-saml"); // SP接收SSO响应的地址
    options.SPOptions.SingleLogoutServiceUrl = new Uri("https://localhost:7003/signout-saml"); // SP接收SLO响应的地址

    // 配置SP签名证书（生产环境必须配置，用于请求签名和响应验证）
    // 可从配置文件加载或直接读取本地证书文件
    options.SPOptions.SigningCertificate = new X509Certificate2("path/to/your-sp-cert.pfx", "cert-password");

    // 配置身份提供商(IdP)
    var idp = new IdentityProvider(new EntityId("https://your-idp-metadata-url"), options.SPOptions)
    {
        LoadMetadata = true, // 开启自动加载IdP元数据，无需手动配置SSO/SLO地址
        AllowUnsolicitedAuthnResponse = true,
        // 若LoadMetadata为true，以下两行可省略，会自动从元数据获取
        // SingleSignOnServiceUrl = new Uri("https://your-idp-sso-url"),
        // SingleLogoutServiceUrl = new Uri("https://your-idp-slo-url"),
        // 若IdP元数据未包含签名证书，需手动配置
        // SigningCertificate = new X509Certificate2("path/to/idp-cert.cer")
    };
    options.IdentityProviders.Add(idp);
})
// 配置认证方案，指定SAML2为默认认证方式
.AddAuthentication(Saml2Constants.Scheme)
.AddCookie(options =>
{
    options.Cookie.HttpOnly = true;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
});

// 添加授权服务
builder.Services.AddAuthorization();

builder.Services.AddControllers();
// 添加SAML2依赖的HttpContextAccessor
builder.Services.AddHttpContextAccessor();

var app = builder.Build();

// 中间件管道配置
app.UseHttpsRedirection();

// 认证、授权中间件顺序不能错
app.UseAuthentication();
app.UseAuthorization();

// 启用SAML2路由处理
app.UseSaml2();

app.MapControllers();

app.Run();

关键补充说明： #

• SP实体ID：必须是完整合法的URI，不能像你原代码那样截断。
• 签名证书：测试环境若IdP允许无签名可暂时跳过，但生产环境必须配置，保障安全性。
• LoadMetadata：设为true后会自动从IdP元数据URL拉取配置，减少手动配置错误。
• 中间件顺序：UseAuthentication()必须在UseAuthorization()之前，UseSaml2()要放在认证中间件之后、路由映射之前。

二、修复 MetadataController 方法问题 #

通常MetadataController用于暴露SP元数据供IdP配置，以下是正确实现：

using ITFoxtec.Identity.Saml2;
using ITFoxtec.Identity.Saml2.MvcCore;
using Microsoft.AspNetCore.Mvc;

[Route("api/[controller]")]
[ApiController]
public class MetadataController : ControllerBase
{
    private readonly Saml2Configuration _saml2Config;

    public MetadataController(Saml2Configuration saml2Config)
    {
        _saml2Config = saml2Config;
    }

    [HttpGet]
    public IActionResult GetMetadata()
    {
        var metadata = new Saml2Metadata(_saml2Config);
        return Content(metadata.ToXml(), "text/xml");
    }
}

常见问题修复点： #

1. 依赖注入：必须通过构造函数注入Saml2Configuration，这是生成元数据的核心依赖。
2. 响应格式：返回内容类型必须设为text/xml，否则IdP无法解析元数据。
3. 路由访问：确保可通过https://localhost:7003/api/metadata正常访问元数据接口。

内容的提问来源于stack exchange，提问作者lamchCCC