成功获取SAML响应后User对象缺失SAML Claims且认证状态为False

已将ItFoxtec .NET Core NuGet包集成到应用中，系统可正常重定向并获取包含Claims的正确SAML响应，且已通过ClaimsTransform添加Claims。能看到SAML响应里的Claims，但查看User对象时，找不到用户Claims，且其Authentication属性显示为False。

当前应用启动时配置了以下代码块，是否会导致Claims被重置？

services.AddIdentity<MyUser, MyRole>(options => 
                    {
                        options.Stores.MaxLengthForKeys = 128;
                        options.Stores.ProtectPersonalData = true;
                    })
                    .AddEntityFrameworkStores<MyEntities>()
                    .AddDefaultTokenProviders()
                    .AddClaimsPrincipalFactory<MyClaimsIdentityFactory>()
                    .AddSignInManager<MySignInManager>()
                    .AddUserStore<MyUserStore>()
                    .AddUserManager<MyUserManager>()
                    .AddUserValidator<MyUserValidator<MyUser>>();

此前查阅过类似问题的解决方案，但并未生效。

核心冲突点 #

你配置的AddIdentity会默认启用Identity.Application Cookie认证方案，而ItFoxtec SAML使用独立的Saml2认证方案。若未明确指定认证方案优先级，系统会优先使用Identity的Cookie，导致SAML的Claims无法同步到User对象，甚至出现Authentication属性为False的情况。此外，自定义的MyClaimsIdentityFactory可能覆盖SAML返回的Claims。

关键修复步骤 #

1. 调整认证方案优先级
   在AddAuthentication配置中，将SAML设为默认认证方案，同时保留Identity的Cookie功能以兼容其他登录场景：

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = Saml2Constants.Scheme;
    options.DefaultChallengeScheme = Saml2Constants.Scheme;
})
.AddSaml2(options => { /* 你的SAML配置 */ })
.AddIdentityCookies();

2. 修改自定义ClaimsPrincipalFactory逻辑
   确保工厂在生成ClaimsPrincipal时合并而非替换SAML的Claims：

public class MyClaimsIdentityFactory : UserClaimsPrincipalFactory<MyUser, MyRole>
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public MyClaimsIdentityFactory(UserManager<MyUser> userManager, 
        RoleManager<MyRole> roleManager, 
        IOptions<IdentityOptions> optionsAccessor,
        IHttpContextAccessor httpContextAccessor) 
        : base(userManager, roleManager, optionsAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public override async Task<ClaimsPrincipal> CreateAsync(MyUser user)
    {
        var principal = await base.CreateAsync(user);
        var samlIdentity = _httpContextAccessor.HttpContext?.User.Identities
            .FirstOrDefault(i => i.AuthenticationType == Saml2Constants.Scheme);
        
        if (samlIdentity != null)
        {
            var identity = (ClaimsIdentity)principal.Identity;
            foreach (var claim in samlIdentity.Claims)
            {
                if (!principal.HasClaim(c => c.Type == claim.Type && c.Value == claim.Value))
                {
                    identity.AddClaim(claim);
                }
            }
        }
        return principal;
    }
}

3. 优化Identity配置
   关闭不必要的Identity登录验证逻辑，避免干扰SAML流程：

services.AddIdentity<MyUser, MyRole>(options => 
{
    options.Stores.MaxLengthForKeys = 128;
    options.Stores.ProtectPersonalData = true;
    options.SignIn.RequireConfirmedAccount = false;
})
// 其他原有配置...

验证要点 #

• 在SAML回调方法中，确认HttpContext.User已包含SAML Claims后再执行后续逻辑
• 使用User.Identity.AuthenticationType检查当前生效的认证方案是否为Saml2

内容的提问来源于stack exchange，提问作者Praveen