如何在Xamarin Forms应用中基于SAML协议实现SSO并捕获SAML令牌？

我刚好做过类似的Xamarin.Forms对接AirWatch SAML SSO的实现，给你梳理下具体的步骤和解决方案，完全贴合你提到的视频思路，也能避开Xamarin.Auth的OAuth局限：

一、核心实现思路：WebView导航拦截+自定义回调Scheme #

AirWatch的SAML认证本质是基于Web的流程，所以用Xamarin.Forms的WebView承载认证页面，然后通过拦截认证完成后的回调URL来捕获SAML令牌——这也是你在Evolve视频里看到的底层逻辑（视频里的AuthType="SAML"其实是AirWatch SDK的封装，我们可以用原生WebView手动实现同样效果）。

二、具体步骤与代码实现 #

1. 配置自定义回调Scheme #

首先需要定义一个专属的URL Scheme（比如myapp://samlcallback），用于AirWatch认证完成后跳转回你的应用，需要在iOS和Android项目中分别配置：

iOS端（Info.plist）

添加URL Types配置：

<key>CFBundleURLTypes</key>
<array>
    <dict>
        <key>CFBundleTypeRole</key>
        <string>Editor</string>
        <key>CFBundleURLSchemes</key>
        <array>
            <string>myapp</string>
        </array>
    </dict>
</array>

Android端（AndroidManifest.xml）

在主Activity中添加intent-filter：

<intent-filter>
    <action android:name="android.intent.action.VIEW" />
    <category android:name="android.intent.category.DEFAULT" />
    <category android:name="android.intent.category.BROWSABLE" />
    <data android:scheme="myapp" />
</intent-filter>

2. 创建WebView并处理导航事件 #

在你的登录页面中添加WebView，然后监听Navigating事件拦截回调URL：

XAML代码

<ContentPage xmlns="http://xamarin.com/schemas/2014/forms"
             xmlns:x="http://schemas.microsoft.com/winfx/2009/xaml"
             x:Class="YourApp.Views.SsoLoginPage">
    <StackLayout>
        <Button Text="使用SSO登录" Clicked="SsoLoginButton_Clicked" />
        <WebView x:Name="SamlWebView" 
                 Navigating="SamlWebView_Navigating"
                 VerticalOptions="FillAndExpand"
                 IsVisible="False" />
    </StackLayout>
</ContentPage>

后台C#代码

private void SsoLoginButton_Clicked(object sender, EventArgs e)
{
    // 显示WebView并加载AirWatch的SAML认证页面
    SamlWebView.IsVisible = true;
    // 替换为你的AirWatch SAML IdP认证地址，记得带上回调Scheme参数
    string samlAuthUrl = "https://your-airwatch-idp-domain.com/saml/auth?redirect_uri=myapp://samlcallback";
    SamlWebView.Source = new UrlWebViewSource { Url = samlAuthUrl };
}

private void SamlWebView_Navigating(object sender, WebNavigatingEventArgs e)
{
    // 拦截回调URL
    if (e.Url.StartsWith("myapp://samlcallback"))
    {
        e.Cancel = true; // 阻止WebView继续跳转
        SamlWebView.IsVisible = false; // 隐藏WebView

        // 解析URL中的SAML令牌（通常参数名为SAMLResponse）
        var uri = new Uri(e.Url);
        var queryParams = System.Web.HttpUtility.ParseQueryString(uri.Query);
        string encodedSamlToken = queryParams["SAMLResponse"];

        if (!string.IsNullOrEmpty(encodedSamlToken))
        {
            // SAMLResponse是Base64编码的，先解码
            byte[] decodedBytes = Convert.FromBase64String(encodedSamlToken);
            string decodedSamlAssertion = System.Text.Encoding.UTF8.GetString(decodedBytes);
            
            // 这里处理令牌：比如传给后端验证、获取用户信息、完成应用登录
            ProcessSamlToken(decodedSamlAssertion);
        }
    }
}

private void ProcessSamlToken(string samlAssertion)
{
    // 实现你的业务逻辑：比如存储令牌、请求用户信息、跳转到主页面等
}

3. 可选：使用AirWatch SDK简化实现 #

如果你的项目已经集成了AirWatch SDK，那可以直接用SDK封装好的SAML认证接口，比手动WebView更省心：

// 先确保AirWatch SDK已初始化
AWSDKManager.SharedInstance.SSO.AuthenticateWithSAML(null, (success, error) =>
{
    if (success)
    {
        string samlToken = AWSDKManager.SharedInstance.SSO.SAMLResponse;
        ProcessSamlToken(samlToken);
    }
    else
    {
        // 处理认证失败逻辑
        DisplayAlert("错误", "SSO登录失败：" + error?.LocalizedDescription, "确定");
    }
});

三、关于Xamarin.Auth的说明 #

你说得没错，Xamarin.Auth主要聚焦OAuth2/OpenID Connect协议，对SAML的支持非常有限，所以完全不适合你的场景。我们上面的WebView拦截方案是移动应用实现SAML SSO的标准方式，和你在Evolve视频里看到的逻辑一致，不需要依赖额外的NuGet包。

四、关键注意事项 #

• 令牌验证必须在后端做：客户端获取到SAML令牌后，一定要传给后端服务进行签名验证，绝对不能直接在客户端信任令牌内容，避免安全风险。
• 处理Base64解码异常：有些情况下SAMLResponse可能会有URL编码，需要先做HttpUtility.UrlDecode再解码Base64。
• SSL证书校验：确保WebView加载的AirWatch认证页面是HTTPS协议，并且开启证书校验，防止中间人攻击。

内容的提问来源于stack exchange，提问作者Pelin Konaray