使用ITFoxtec.Identity.Saml2在Okta实现SLO的配置要求及问题排查

现有代码的问题 #

你这段Program.cs里的配置有两处明显问题：

• 重复添加签名证书：先通过AddRange把IdP的所有签名证书加进去，之后又循环判断有效性再添加一次，导致证书重复存入SignatureValidationCertificates，属于冗余操作，保留一套逻辑即可（比如只保留循环验证有效证书的部分）。
• 缺少SP端SLO核心配置：仅配置了IdP的SLO地址，但SP自身的签名证书、会话信息存储等关键内容完全没设置，这是IdP未真正完成注销的主要原因。

需补充的SLO配置步骤 #

要让SLO正常工作，除现有代码外，还需完成以下配置：

1. 配置SP的签名证书 #

Okta要求SP发起的SLO请求必须签名，需在Saml2Configuration中添加SP自身的签名证书：

// 替换为你的SP签名证书路径和密码
var spSigningCert = new X509Certificate2("path/to/sp-signing-cert.pfx", "cert-password");
saml2Configuration.SigningCertificate = spSigningCert;
// 若需要加密SAML消息，可添加解密证书
// saml2Configuration.DecryptionCertificates.Add(spSigningCert);

2. 保存用户SAML会话上下文 #

注销时需要向IdP传递用户的NameID和SessionIndex（这些信息在SSO成功时由IdP返回），需在SSO登录回调中把这些信息存入用户会话：

// SSO登录回调动作示例
public async Task<IActionResult> Acs()
{
    var result = await HttpContext.AuthenticateAsync("Saml2");
    if (result.Succeeded)
    {
        var nameId = result.Principal.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        var sessionIndex = result.Properties.GetTokenValue("SessionIndex");
        
        // 存入会话，供注销时调用
        HttpContext.Session.SetString("SamlNameId", nameId);
        HttpContext.Session.SetString("SamlSessionIndex", sessionIndex);
        
        await HttpContext.SignInAsync(result.Principal);
        return RedirectToAction("Index", "Home");
    }
    return BadRequest("SSO登录失败");
}

3. 实现正确的注销控制器动作 #

注销时需构造符合SAML规范的注销请求，包含NameID、SessionIndex并签名，再重定向到IdP的SLO地址：

public async Task<IActionResult> Logout()
{
    var nameId = HttpContext.Session.GetString("SamlNameId");
    var sessionIndex = HttpContext.Session.GetString("SamlSessionIndex");
    
    if (string.IsNullOrEmpty(nameId) || string.IsNullOrEmpty(sessionIndex))
    {
        // 无SAML会话，直接本地注销
        await HttpContext.SignOutAsync();
        return RedirectToAction("Index", "Home");
    }

    // 获取SAML配置
    var saml2Config = HttpContext.RequestServices.GetRequiredService<IOptions<Saml2Configuration>>().Value;
    // 构造注销请求
    var logoutRequest = new Saml2LogoutRequest(saml2Config, nameId, sessionIndex);
    logoutRequest.Sign(saml2Config.SigningCertificate, new XmlDsigExcC14NTransform());

    // 生成重定向到IdP SLO的URL
    var logoutUrl = logoutRequest.CreateRedirectUrl();
    // 清除本地会话
    await HttpContext.SignOutAsync();
    HttpContext.Session.Clear();
    
    return Redirect(logoutUrl);
}

4. 配置SAML身份验证服务的SLO端点 #

在Program.cs中添加SAML身份验证服务时，需指定注销回调路径（用于接收IdP的注销响应）：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie()
    .AddSaml2(options =>
    {
        options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        // 配置SSO回调和SLO回调路径
        options.CallbackPath = "/saml2/acs";
        options.SignOutPath = "/saml2/logout/callback";
        // 绑定已配置的SAML2参数
        options.Configuration = builder.Configuration.GetSection("Saml2").Get<Saml2Configuration>();
    });

// 记得启用会话
builder.Services.AddSession();

5. 确认Okta端配置匹配 #

• 确保Okta中SP应用的Single Logout URL已设置为你的应用注销回调地址（如https://your-app-domain/saml2/logout/callback）
• 确认Okta中已开启Sign SLO Request和Sign SLO Response选项，且使用的证书与你配置的SP签名证书一致

额外注意事项 #

• 若使用HTTP-POST绑定的SLO，需调整注销请求生成方式（使用CreatePostForm而非CreateRedirectUrl）
• 测试时可开启SAML日志，排查请求/响应中的格式或签名错误

内容的提问来源于stack exchange，提问作者jscjml