重定向至AssertionConsumerService时出现400错误的排查求助

问题描述 #

我在应用中使用ITFoxtec SAML 2.0 .NET Core NuGet包，已部署测试IdpCore项目并完成集成。应用可重定向至IdP，通过Fiddler确认收到状态为Success的SAML响应，但始终触发400错误，无法命中控制器中的AssertionConsumerService方法。已验证元数据URL配置正确，请问还需检查哪些内容？

附收到的SAML响应：

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" ID="_e7345657-1449-4d52-81fa-127d2ccffc9c" Version="2.0" IssueInstant="2023-07-07T07:03:08.834Z" Destination="https://localhost:5001/Saml2Auth/AssertionConsumerService" InResponseTo="_7bddec34-696b-4bad-9039-ec176493f0de">
  <saml:Issuer>itfoxtec-testidpcore</saml:Issuer>
    <samlp:Status>
    <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
  </samlp:Status>
  <saml:Assertion ID="_b937d729-3755-483d-a2f6-86be69f6086f" IssueInstant="2023-07-07T07:03:08.839Z" Version="2.0" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">
    <saml:Issuer>itfoxtec-testidpcore</saml:Issuer>
    <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">abcd</saml:NameID>
      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData InResponseTo="_7bddec34-696b-4bad-9039-ec176493f0de" NotOnOrAfter="2023-07-07T07:08:08.840Z" Recipient="https://localhost:5001/Saml2Auth/AssertionConsumerService" />
      </saml:SubjectConfirmation>
    </saml:Subject>
    <saml:Conditions NotBefore="2023-07-07T07:03:08.839Z" NotOnOrAfter="2023-07-07T08:03:08.839Z">
      <saml:AudienceRestriction>
        <saml:Audience>itfoxtec-testwebappcore</saml:Audience>
      </saml:AudienceRestriction>
    </saml:Conditions>
    <saml:AttributeStatement>
      <saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn">
        <saml:AttributeValue>abcd@email.test</saml:AttributeValue>
      </saml:Attribute>
      <saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress">
        <saml:AttributeValue>abcd@someemail.test</saml:AttributeValue>
      </saml:Attribute>
    </saml:AttributeStatement>
    <saml:AuthnStatement AuthnInstant="2023-07-07T07:03:08.839Z" SessionIndex="aad7bf52-9bfa-4169-8847-e8c0d76d790b">
      <saml:AuthnContext>
        <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
      </saml:AuthnContext>
    </saml:AuthnStatement>
  </saml:Assertion>
</samlp:Response>

排查要点 #

• 响应签名缺失/验证失败：从提供的SAML响应来看，整个响应没有<ds:Signature>签名节点，而ITFoxtec SAML组件默认要求验证响应签名。检查IdP配置，确保启用了响应签名；同时确认SP端配置的IdP公钥正确，与IdP用于签名的证书匹配。如果是测试环境暂时需要跳过签名验证，可在SP的SAML配置中设置SignatureValidationCertificate = null，但生产环境必须启用签名。
• InResponseTo会话验证：SP发起AuthnRequest时生成的ID（_7bddec34-696b-4bad-9039-ec176493f0de）需要在SP的会话中存在且未过期。检查服务器Session配置，确保HTTPS环境下Cookie正常传递，没有因跨域、Cookie策略导致会话丢失；另外确认AuthnRequest的有效期设置合理，避免请求未完成就过期。
• ACS端点配置正确性：
  • 确保ACS控制器方法标记了[HttpPost]和[IgnoreAntiforgeryToken]（防CSRF中间件会拦截未验证的POST请求）；
  • 检查路由地址是否与SAML响应的Destination完全一致，包括协议、域名、端口、路径，大小写敏感。
• 受众（Audience）匹配：确认SP配置中的AudienceUri值为itfoxtec-testwebappcore，与断言中的<saml:Audience>完全一致，大小写不能出错。
• 服务器时间同步：SAML断言中的NotBefore和NotOnOrAfter定义了有效期，SP服务器系统时间必须与IdP服务器时间同步，误差不能超过组件默认的时间容忍值（一般为5分钟），否则会触发时间验证失败。
• SAML响应解析异常：在SP端添加详细日志，查看ITFoxtec组件解析SAML响应时的具体错误信息。可以在ACS方法中捕获Exception，或者通过日志框架记录组件的调试日志，定位解析过程中的具体问题。

内容的提问来源于stack exchange，提问作者Praveen