ITfoxtec.Identity.Saml2库能否忽略过期证书导致的无效SAML签名？

可以实现这个需求，ITfoxtec.Identity.Saml2库允许通过自定义证书验证回调来忽略证书过期导致的错误，同时保留其他签名有效性检查。具体操作如下：

1. 自定义证书验证逻辑 #

在处理SAML请求（以AuthnResponse为例，请求类处理逻辑类似）的代码中，设置CertificateValidationCallback委托，在回调函数中过滤掉证书过期相关的错误：

// 初始化SAML响应对象
var saml2AuthnResponse = new Saml2AuthnResponse(_configuration);

// 绑定请求数据（根据实际场景调整，比如从HttpContext读取）
saml2AuthnResponse.ReadSamlResponse(Request.ToGenericHttpRequest());

// 设置自定义证书验证回调
saml2AuthnResponse.CertificateValidationCallback = (certificate, chain, sslPolicyErrors) =>
{
    // 检查证书链中是否存在过期证书
    bool hasExpiredCert = chain.ChainElements.Any(element => 
        element.Certificate.NotAfter < DateTime.UtcNow || 
        element.Certificate.NotBefore > DateTime.UtcNow);

    // 如果仅存在过期错误，忽略并返回验证通过；否则保留原错误逻辑
    if (hasExpiredCert && sslPolicyErrors == SslPolicyErrors.RemoteCertificateChainErrors)
    {
        return true;
    }

    // 其他错误按默认规则验证
    return sslPolicyErrors == SslPolicyErrors.None;
};

// 执行签名验证（此时会使用自定义的证书逻辑）
saml2AuthnResponse.ValidateSignature();

2. 注意事项 #

• 上述代码仅忽略证书过期导致的签名错误，其他签名问题（如证书不匹配、内容篡改等）仍会正常抛出异常，保证核心安全性。
• 如果需要完全跳过签名验证（仅建议测试场景使用，存在安全风险），可以调用带参数的重载方法关闭所有校验：

  saml2AuthnResponse.ValidateSignature(validate: false);
  

• 生产环境中仅建议临时使用此逻辑兼容过期证书，需尽快更新有效证书以消除安全隐患。

内容的提问来源于stack exchange，提问作者Dave W