如何在NestJS中集成passport-saml的MultiSamlStrategy？

问题描述 #

我了解到passport-saml提供了MultiSamlStrategy，示例代码如下：

const { MultiSamlStrategy } = require('passport-saml');

passport.use(new MultiSamlStrategy(
  {
    passReqToCallback: true, // makes req available in callback
    getSamlOptions: function(request, done) {
      findProvider(request, function(err, provider) {
        if (err) {
          return done(err);
        }
        return done(null, provider.configuration);
      });
    }
  },
  function(req, profile, done) {
    findByEmail(profile.email, function(err, user) {
      if (err) {
        return done(err);
      }
      return done(null, user);
    });
  })
);

而NestJS中Passport策略的常规实现仅支持单策略，示例如下：

import { Strategy } from 'passport-local';
import { PassportStrategy } from '@nestjs/passport';
import { Injectable, UnauthorizedException } from '@nestjs/common';
import { AuthService } from './auth.service';

@Injectable()
export class LocalStrategy extends PassportStrategy(Strategy) {
  constructor(private authService: AuthService) {
    super();
  }

  async validate(username: string, password: string): Promise<any> {
    const user = await this.authService.validateUser(username, password);
    if (!user) {
      throw new UnauthorizedException();
    }
    return user;
  }
}

请问如何将这两者结合使用？找不到相关参考资料。

解决方案 #

1. 自定义MultiSaml策略类 #

和常规Passport策略实现逻辑一致，通过继承PassportStrategy类，传入MultiSamlStrategy作为核心策略参数。同时在super()中配置关键选项，确保passReqToCallback设为true，以便在方法中获取请求对象来动态识别SAML提供商。

示例代码：

import { Injectable, UnauthorizedException } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { MultiSamlStrategy } from 'passport-saml';
import { AuthService } from './auth.service';
import { SamlProviderService } from './saml-provider.service'; // 自定义服务，用于读取SAML提供商配置

@Injectable()
export class MultiSamlAuthStrategy extends PassportStrategy(MultiSamlStrategy) {
  constructor(
    private readonly authService: AuthService,
    private readonly samlProviderService: SamlProviderService,
  ) {
    super({
      passReqToCallback: true,
      getSamlOptions: async (req, done) => {
        try {
          // 根据请求特征（如域名、请求参数）获取对应提供商配置
          const providerConfig = await this.samlProviderService.getConfigByRequest(req);
          done(null, providerConfig);
        } catch (err) {
          done(err);
        }
      },
    });
  }

  // 重写validate方法，处理SAML返回的用户信息
  async validate(req: any, profile: any): Promise<any> {
    const user = await this.authService.validateSamlUser(profile);
    if (!user) {
      throw new UnauthorizedException();
    }
    return user;
  }
}

2. 注册策略到AuthModule #

在你的AuthModule中，将自定义的MultiSamlAuthStrategy作为提供者注册，同时导入PassportModule：

import { Module } from '@nestjs/common';
import { PassportModule } from '@nestjs/passport';
import { AuthService } from './auth.service';
import { MultiSamlAuthStrategy } from './multi-saml-auth.strategy';
import { SamlProviderService } from './saml-provider.service';

@Module({
  imports: [PassportModule],
  providers: [AuthService, MultiSamlAuthStrategy, SamlProviderService],
  exports: [AuthService],
})
export class AuthModule {}

3. 创建SAML认证路由 #

需要两个核心路由：一个用于发起SAML登录请求（重定向到IDP），另一个用于接收IDP返回的SAML响应并完成认证：

import { Controller, Get, Post, Req, Res, UseGuards } from '@nestjs/common';
import { AuthGuard } from '@nestjs/passport';
import { Passport } from '@nestjs/passport';

@Controller('auth/saml')
export class SamlAuthController {
  constructor(private readonly passport: Passport) {}

  // 发起SAML登录请求，动态匹配提供商
  @Get('login')
  async samlLogin(@Req() req, @Res() res) {
    this.passport.authenticate(MultiSamlStrategy.name, (err, _, info) => {
      if (err) {
        return res.status(500).send(err.message);
      }
      // 重定向到IDP登录页面
      res.redirect(info);
    })(req, res);
  }

  // 接收SAML响应，完成认证
  @Post('callback')
  @UseGuards(AuthGuard(MultiSamlStrategy.name))
  samlCallback(@Req() req) {
    // 认证成功后返回用户信息或生成令牌
    return req.user;
  }
}

4. 实现动态提供商配置逻辑 #

SamlProviderService需要实现根据请求特征获取对应SAML配置的逻辑，比如从数据库读取：

import { Injectable } from '@nestjs/common';
import { InjectRepository } from '@nestjs/typeorm';
import { Repository } from 'typeorm';
import { SamlProvider } from './entities/saml-provider.entity';

@Injectable()
export class SamlProviderService {
  constructor(
    @InjectRepository(SamlProvider)
    private readonly samlProviderRepo: Repository<SamlProvider>,
  ) {}

  async getConfigByRequest(req: any) {
    // 示例：通过请求域名匹配提供商
    const domain = req.hostname;
    const provider = await this.samlProviderRepo.findOne({ where: { domain } });
    if (!provider) {
      throw new Error('SAML provider not found');
    }
    // 返回passport-saml需要的配置结构
    return {
      entryPoint: provider.entryPoint,
      issuer: provider.issuer,
      cert: provider.cert,
      // 其他配置项
    };
  }
}

关键注意事项 #

• 动态提供商识别：getSamlOptions方法是核心，需根据业务场景（域名、请求参数、请求头等）精准匹配对应的SAML提供商配置。
• 异步兼容：NestJS原生支持async/await，可将回调形式的逻辑改为异步写法，提升代码可读性。
• 策略名称匹配：使用AuthGuard时，必须指定MultiSamlStrategy.name作为策略名称，确保NestJS调用正确的策略。

内容的提问来源于stack exchange，提问作者Anonymous Creator