如何通过PowerShell调用Web请求完成单点登录(SSO)认证，解决SAML认证网站文件下载401未授权问题

嗨，这个问题我之前也碰到过！你的Invoke-WebRequest脚本之所以返回401，核心原因是SAML SSO和普通的HTTP基本认证完全不是一回事——-Credential参数只能处理那种把用户名密码直接放在HTTP请求头里的简单认证，但SAML是一套基于浏览器的复杂流程：它会跳转到身份提供商（IdP）的登录页、验证你的凭据、生成加密的SAML断言，再把断言传回目标网站（服务提供商SP）来建立会话。直接传用户名密码根本走不通这套流程。

下面给你几个可行的解决思路，按可靠性排序：

既然SAML是浏览器端的交互，那直接模拟浏览器操作就是最稳妥的方案，步骤如下：

首先安装Selenium的PowerShell模块：

Install-Module -Name Selenium -Force

然后写脚本模拟登录、获取认证Cookie，再用Cookie下载文件：

# 初始化Chrome浏览器（需要提前安装对应版本的ChromeDriver，放到PATH里）
$driver = Start-SeChrome
try {
    # 访问目标文件URL，会自动跳转到SAML登录页
    $driver.Navigate().GoToUrl("你的目标文件URL")

    # 等待登录表单加载，然后填写用户名密码（注意修改元素选择器为实际页面的ID/名称）
    $usernameInput = $driver.FindElementById("username") # 替换成你登录页的用户名输入框ID
    $usernameInput.SendKeys("你的用户名")
    $passwordInput = $driver.FindElementById("password") # 替换成密码输入框ID
    $passwordInput.SendKeys("你的密码")

    # 点击登录按钮（同样替换成实际按钮的选择器）
    $loginBtn = $driver.FindElementById("submit-btn")
    $loginBtn.Click()

    # 等待认证完成、页面跳转（根据实际情况调整等待时间）
    Start-Sleep -Seconds 5

    # 提取认证后的会话Cookie
    $cookies = $driver.Manage().Cookies.GetCookies()
    $cookieString = ($cookies | ForEach-Object { "$($_.Name)=$($_.Value)" }) -join "; "

    # 关闭浏览器
    $driver.Quit()

    # 用Cookie请求下载文件
    Invoke-WebRequest -Uri "你的目标文件URL" -OutFile "本地保存路径" -Headers @{ "Cookie" = $cookieString }
} catch {
    Write-Error "认证过程出错：$_"
    $driver.Quit()
}

注意：要提前下载和浏览器版本匹配的WebDriver（比如ChromeDriver），确保它在系统PATH中，或者在Start-SeChrome里指定驱动路径。

如果不想用浏览器，你可以通过抓包分析SAML的完整流程，然后用PowerShell模拟这些HTTP请求：

• 打开浏览器开发者工具（F12），清空缓存后访问目标URL，全程记录所有请求
• 找到这几个关键步骤：
  1. 目标网站重定向到IdP登录页的请求（获取认证参数）
  2. 提交用户名密码到IdP的POST请求（获取SAML断言）
  3. 将SAML断言POST回目标网站的请求（建立会话）
• 用Invoke-WebRequest或Invoke-RestMethod依次模拟这些请求，提取中间的Cookie和参数，最后拿到认证后的会话Cookie去下载文件

这个方法需要你对HTTP请求和SAML协议有一定了解，而且网站的认证流程一旦更新，脚本就得跟着改，但好处是不需要依赖浏览器和WebDriver。

如果你的SSO是基于Azure AD、Okta这类主流身份提供商，可能有现成的PowerShell模块可以直接获取认证令牌：
比如Azure AD的情况：

Install-Module -Name PSADAL -Force
# 获取访问令牌
$token = Get-ADALToken -Resource "目标网站的资源ID" -ClientId "你的客户端ID" -Credential (Get-Credential)
# 用Bearer令牌请求文件
Invoke-WebRequest -Uri "你的目标文件URL" -OutFile "本地保存路径" -Headers @{ "Authorization" = "Bearer $($token.AccessToken)" }

这个方法最简洁，但只适用于有对应模块的IdP，通用性不强。

内容的提问来源于stack exchange，提问作者abunehneh