.NET 6下ITfoxtec生成的AuthnRequest未签名问题排查

问题描述 #

在.NET 6环境中使用ITfoxtec库创建并签名AuthnRequest时遇到问题：AuthnRequest可正常创建，但签名未生效。已传入包含公钥和私钥的证书，然而生成的AuthnRequest XML中无签名信息。

用户代码如下：

SamlConfig = new Saml2Configuration
{
    Issuer = "<my-issuer>",
    SigningCertificate = cert,
    AuthnResponseSignType = Saml2AuthnResponseSignTypes.SignAssertionAndResponse,
    SignatureAlgorithm = "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256",
    SignAuthnRequest = true
};

var authnRequest = new Saml2AuthnRequest(SamlConfig);

authnRequest.ProtocolBinding = new Uri("urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST");
authnRequest.AssertionConsumerServiceIndex = 0;

authnRequest.RequestedAuthnContext = new RequestedAuthnContext
{
    AuthnContextClassRef = new string[] { "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" },
    Comparison = AuthnContextComparisonTypes.Minimum
};

authnRequest.Validate();

return authnRequest.ToXml();

解决方法 #

核心修改 #

默认的ToXml()重载不会触发签名逻辑，需要调用带布尔参数的重载方法，明确要求生成签名后的XML：

将最后一行代码修改为：

// 使用配置中已设置的SignAuthnRequest参数，更灵活
return authnRequest.ToXml(SamlConfig.SignAuthnRequest);
// 或者直接传入true
// return authnRequest.ToXml(true);

额外排查点 #

• 验证证书是否包含私钥：通过cert.HasPrivateKey检查，只有带私钥的证书才能完成签名
• 确认SamlConfig.SignAuthnRequest未被后续代码意外覆盖为false
• 检查authnRequest.Validate()是否抛出异常，若有异常需先处理，否则签名流程会被中断

内容的提问来源于stack exchange，提问作者TheFunOne