SP执行SingleLogout时触发“HTTP Form does not contain SAMLRequest”错误求助

问题描述 #

基于ItFoxTec的SP测试示例编写了SingleLogout控制器代码如下：

[Route("SingleLogout")]
public async Task<IActionResult> SingleLogout()
{
    Saml2StatusCodes status;
    var requestBinding = new Saml2PostBinding();
    var logoutRequest = new Saml2LogoutRequest(config, User);
    try
    {
        requestBinding.Unbind(Request.ToGenericHttpRequest(), logoutRequest);
        status = Saml2StatusCodes.Success;
        await logoutRequest.DeleteSession(HttpContext);
    }
    catch (Exception exc)
    {
        // log exception
        Debug.WriteLine("SingleLogout error: " + exc);
        status = Saml2StatusCodes.RequestDenied;
    }

    var responsebinding = new Saml2PostBinding();
    responsebinding.RelayState = requestBinding.RelayState;
    var saml2LogoutResponse = new Saml2LogoutResponse(config)
    {
        InResponseToAsString = logoutRequest.IdAsString,
        Status = status
    };
    return responsebinding.Bind(saml2LogoutResponse).ToActionResult();
}

访问该端点时，IDP抛出错误：

HTTP Form does not contain SAMLRequest
错误由Saml2BindingException引发，需确认是IDP还是SP的配置/代码问题。

问题分析与解决 #

这个错误大概率是SP端的代码逻辑错误，核心问题是构造Saml2LogoutRequest的方式不符合当前端点的定位：

核心错误点 #

你当前的端点应该是用于接收IDP发起的注销请求，但代码中使用了new Saml2LogoutRequest(config, User)这个构造函数——该构造函数是用于SP主动向IDP发起注销请求时创建请求对象的，不是用于接收IDP请求的构造方式。

当接收IDP的注销请求时，应该使用仅传入config的构造函数，让Unbind方法从Request中解析IDP发送的SAMLRequest参数。

修正后的代码 #

[Route("SingleLogout")]
public async Task<IActionResult> SingleLogout()
{
    Saml2StatusCodes status;
    var requestBinding = new Saml2PostBinding();
    // 接收IDP注销请求时，使用仅带config的构造函数
    var logoutRequest = new Saml2LogoutRequest(config);
    try
    {
        requestBinding.Unbind(Request.ToGenericHttpRequest(), logoutRequest);
        // 额外验证：确认请求的Issuer是信任的IDP
        if (!string.Equals(logoutRequest.Issuer, config.Issuer, StringComparison.OrdinalIgnoreCase))
        {
            status = Saml2StatusCodes.RequestDenied;
        }
        else
        {
            status = Saml2StatusCodes.Success;
            await logoutRequest.DeleteSession(HttpContext);
        }
    }
    catch (Saml2BindingException exc)
    {
        Debug.WriteLine("SingleLogout binding error: " + exc);
        status = Saml2StatusCodes.RequestDenied;
    }
    catch (Exception exc)
    {
        Debug.WriteLine("SingleLogout error: " + exc);
        status = Saml2StatusCodes.ServerError;
    }

    var responseBinding = new Saml2PostBinding();
    responseBinding.RelayState = requestBinding.RelayState;
    var saml2LogoutResponse = new Saml2LogoutResponse(config)
    {
        InResponseToAsString = logoutRequest.IdAsString,
        Status = status
    };
    return responseBinding.Bind(saml2LogoutResponse).ToActionResult();
}

额外排查点 #

1. 验证IDP请求参数：用浏览器开发者工具或抓包工具确认IDP是否确实向该端点POST了包含SAMLRequest参数的请求，如果没有，需要检查IDP的注销目标配置是否正确。
2. 如果是SP主动发起注销：需要单独编写发起注销的动作，示例代码如下：

public IActionResult InitiateLogout()
{
    var logoutRequest = new Saml2LogoutRequest(config, User);
    var binding = new Saml2PostBinding();
    binding.RelayState = Request.PathBase.ToString();
    return binding.Bind(logoutRequest).ToActionResult();
}

内容的提问来源于stack exchange，提问作者Sadamuhiz