如何在运行时通过Sustainsys Saml2AuthenticationRequest设置ForceAuthentication值

基础认证配置 #

在.NET6项目的Startup.cs中注册SAML2认证方案时，默认将ForceAuthentication设为false，适配IDP的常规登录界面：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = Saml2Defaults.Scheme;
    })
    .AddCookie()
    .AddSaml2(options =>
    {
        // 配置IDP元数据、断言消费者地址等必填项
        options.ForceAuthentication = false; // 默认使用常规登录流程
    });
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他中间件（如静态文件、路由）配置
    app.UseAuthentication();
    app.UseAuthorization();
    // 后续中间件
}

电子签名场景的强制认证流程 #

仅当用户执行电子签名操作时，需要触发IDP的专用登录界面，此时需临时将ForceAuthentication设为true，流程如下：

• 用户通过默认配置（ForceAuthentication=false）完成常规登录，获取应用会话
• 用户在应用内发起电子签名操作时，从电子签名页面触发SAML认证请求，动态启用强制认证

动态启用强制认证的实现 #

在处理电子签名请求的后端逻辑中，通过AuthenticationProperties覆盖默认配置，发起带强制认证参数的SAML挑战：

public IActionResult StartSignatureFlow()
{
    var authProps = new AuthenticationProperties
    {
        Items = { { "Saml2.ForceAuthentication", "true" } }
    };
    return Challenge(authProps, Saml2Defaults.Scheme);
}

内容的提问来源于stack exchange，提问作者roczstar