Saml2Assertion的Statements仅含getter且无法通过构造函数设置的原因

核心原因 #

Microsoft.IdentityModel.Tokens.Saml2.Saml2Assertion的Statements属性被设计为不可直接修改，本质是出于以下几点考量：

• 安全合规要求：SAML断言是身份验证场景下的核心安全凭证，内容完整性是其核心属性。如果允许直接修改Statements集合，会存在被恶意篡改的风险，违背SAML协议的安全设计初衷。
• 不可变对象设计：该类遵循不可变对象模式，断言创建后应保持结构稳定。通过限制直接修改，确保断言始终符合SAML 2.0规范，避免出现不符合标准的无效内容。
• 内部验证控制：类通过专用方法管理声明的添加，能在添加过程中执行规范验证（比如检查声明类型合法性、格式合规性）。若直接暴露可写集合，这些验证逻辑无法生效，可能生成不符合协议要求的断言。

正确的声明添加方式 #

虽然Statements没有setter，也不能通过构造函数直接设置，但类提供了AddStatement方法来添加各类声明（属性声明、身份验证声明等），示例代码如下：

// 初始化SAML断言
var assertion = new Saml2Assertion(new Saml2NameIdentifier("your-issuer-id"));

// 添加属性声明
var attributeStmt = new Saml2AttributeStatement();
attributeStmt.Attributes.Add(new Saml2Attribute("username", "john_doe"));
attributeStmt.Attributes.Add(new Saml2Attribute("role", "admin"));
assertion.AddStatement(attributeStmt);

// 添加身份验证声明
var authStmt = new Saml2AuthenticationStatement(
    new Saml2AuthenticationContext(Saml2AuthenticationContextClasses.Password));
authStmt.AuthenticationInstant = DateTime.UtcNow;
assertion.AddStatement(authStmt);

内容的提问来源于stack exchange，提问作者Yola