ASP.NET WebForms中Azure SSO的SAMLResponse获取为空求助

核心排查方向及修复步骤 #

1. 确认请求提交方式与页面接收配置 #

Azure AD发送SAML响应时使用POST请求，需先确认回调页面是否能正常接收POST数据：

• 在frmSSOLogin.aspx的Page_Load中添加代码，打印当前请求方法：

  Response.Write($"Request Method: {Request.HttpMethod}");
  Response.End();
  

• 若输出为GET，说明Azure AD未按预期用POST返回响应，大概率是你的SAML请求用了GET方式发送。Aspsamlnet的GetRedirectUrl生成的是GET请求链接，需改为POST表单提交（见下文代码调整）。

2. 严格校验回调URL的一致性 #

Azure AD对Assertion Consumer Service (ACS) URL的匹配是完全严格的，必须确保：

• 代码中AuthRequest构造的ACS URL（https://localhost:44342/frmSSOLogin.aspx）与Azure AD配置中的ACS URL完全一致，包括大小写、结尾斜杠、端口号。
• 代码中的实体ID（AuthRequest第一个参数）需与Azure AD里的应用标识符完全匹配。

3. 关闭ASP.NET请求验证拦截 #

SAMLResponse是Base64编码的长字符串，容易被ASP.NET默认的请求验证拦截，导致无法读取：

• 在frmSSOLogin.aspx页面顶部添加：

  <%@ Page ... ValidateRequest="false" %>
  

• 若使用.NET 4.0及以上版本，需在Web.config中针对该页面补充配置：

  <location path="frmSSOLogin.aspx">
      <system.web>
          <pages validateRequest="false" />
          <httpRuntime requestValidationMode="2.0" />
      </system.web>
  </location>
  

4. 捕获原始请求内容排查 #

直接查看Azure AD发送的原始请求数据，确认是否包含SAMLResponse字段：

• 在frmSSOLogin.aspx的Page_Load中添加：

  Request.InputStream.Position = 0;
  var rawPostData = new StreamReader(Request.InputStream).ReadToEnd();
  Response.Write(rawPostData);
  Response.End();
  

运行后查看输出：

• 若没有SAMLResponse字段，说明Azure AD未正确发送响应，需重新检查Azure配置；
• 若有字段但代码读取不到，需确认参数名是否为标准的SAMLResponse（注意大写）。

5. 调整SAML请求的发送方式 #

将原有的GET重定向改为POST表单提交，确保Azure AD用POST返回响应：

var samlEndpoint = "https://login.microsoftonline.com/id_here/saml2/";
var request = new AuthRequest(
    "https://localhost:44342", 
    "https://localhost:44342/frmSSOLogin.aspx"
);
var samlRequest = request.GetSAMLRequest();

// 生成自动提交的POST表单
var postForm = $@"
<form id='samlForm' action='{samlEndpoint}' method='POST'>
    <input type='hidden' name='SAMLRequest' value='{samlRequest}' />
    <input type='hidden' name='RelayState' value='{Guid.NewGuid()}' />
</form>
<script>document.getElementById('samlForm').submit();</script>";

Response.Write(postForm);
Response.End();

6. 用工具捕获完整SAML流程 #

使用浏览器插件（如SAML Tracer）捕获整个SAML交互流程，重点查看：

• 发送给Azure AD的SAML请求是否包含正确的ACS URL；
• Azure AD返回的响应是否包含SAMLResponse字段；
• 响应的目标URL是否与你的回调页面完全一致。

内容的提问来源于stack exchange，提问作者Jayvee