ASP.NET中SAML集成：如何在Duende Identity Server运行时动态添加SAML提供者

• 核心原理：Duende的SAML模块默认从配置文件加载身份提供者，要实现动态添加，需自定义ISaml2ConfigurationProvider接口，从动态数据源（如数据库、缓存）读取并合并配置。

• 1. 自定义SAML配置提供者
     实现ISaml2ConfigurationProvider接口，在GetConfigurationAsync方法中加载基础配置并合并动态添加的SAML提供者：

public class DynamicSamlConfigProvider : ISaml2ConfigurationProvider
{
    private readonly IConfiguration _baseConfig;
    private readonly IDynamicSamlStore _dynamicStore;

    public DynamicSamlConfigProvider(IConfiguration baseConfig, IDynamicSamlStore dynamicStore)
    {
        _baseConfig = baseConfig;
        _dynamicStore = dynamicStore;
    }

    public async Task<Saml2Configuration> GetConfigurationAsync(CancellationToken cancellationToken = default)
    {
        // 加载appsettings中的基础SAML配置
        var samlConfig = new Saml2Configuration();
        _baseConfig.GetSection("Saml2").Bind(samlConfig);

        // 从动态存储获取所有新增的SAML提供者
        var dynamicProviders = await _dynamicStore.GetDynamicSamlProvidersAsync(cancellationToken);
        foreach (var provider in dynamicProviders)
        {
            var idp = new Saml2IdentityProvider(samlConfig)
            {
                EntityId = provider.EntityId,
                SingleSignOnServiceUrl = new Uri(provider.SsoEndpoint),
                SigningCertificates = { X509Certificate2.CreateFromPem(provider.SigningCertPem) },
                NameIdFormat = provider.NameIdFormat ?? NameIdFormat.Unspecified
                // 根据需求添加LogoutServiceUrl、AttributeConsumingService等配置
            };
            samlConfig.IdentityProviders.Add(idp);
        }

        return samlConfig;
    }
}

• 2. 注册自定义提供者
     在Program.cs中替换默认的配置提供者：

builder.Services.AddDuendeIdentityServer()
    // 其他Identity Server核心配置（如客户端、资源）
    .AddSaml2()
    .AddSaml2ConfigurationProvider<DynamicSamlConfigProvider>();

// 注册你的动态存储实现（比如数据库访问服务）
builder.Services.AddScoped<IDynamicSamlStore, DbDynamicSamlStore>();

• 3. 配置实时生效处理
     为了让新增的SAML提供者立即生效，可通过以下方式处理：
  • 给自定义提供者添加缓存逻辑，使用IMemoryCache缓存配置，并设置较短的过期时间（如5分钟）
  • 提供内部API端点，当新增/修改SAML配置时，手动清除缓存

• 关键注意点

  • 必须验证动态添加的SAML提供者签名证书的合法性，避免未授权的身份提供者接入
  • 确保动态存储中的配置包含所有必要字段，缺失可能导致SAML流程失败
  • 测试阶段需完整验证单点登录、单点注销流程，以及用户属性映射是否正确

内容的提问来源于stack exchange，提问作者xxxyyy