使用ASP.NET Core 6 Web API与独立Vue前端时能否采用SAML？

你的判断不完全准确，SAML并非完全无法适配这种前后端分离的API+SPA场景，只是实现方式和传统MVC Web应用有明显区别：

核心差异 #

传统ASP.NET Core MVC使用SAML时，依赖浏览器重定向流程完成身份验证，身份信息直接存储在Cookie中，后端可直接读取。但前后端分离场景下，Vue作为独立部署的SPA，API是无状态服务，无法直接复用这套基于Cookie的验证流程。

可行的实现方案 #

1. 前端代理SAML身份验证流程 #

• Vue前端引导用户跳转到身份提供商（IdP）的登录页，完成SAML身份验证
• IdP验证通过后返回SAML断言给前端，前端将断言发送至ASP.NET Core 6 Web API
• API端借助ITfoxtec.Identity.Saml2这类SAML库验证断言合法性，验证通过后生成JWT令牌返回给前端
• 后续前端请求API时，携带JWT令牌完成身份校验

2. 引入网关中间层 #

• 在API与前端之间部署网关（如Ocelot），由网关统一处理SAML身份验证流程
• 用户访问前端时，先通过网关完成SAML登录，网关生成合法令牌转发给前端
• 前端使用该令牌调用API，API只需校验令牌有效性，无需直接处理SAML逻辑

为什么所见示例多为MVC应用？ #

SAML最初的设计场景就是面向服务端渲染的传统Web应用，这类场景的实现逻辑更直接，文档和示例也更丰富。而前后端分离场景下的SAML适配需要额外的令牌转换逻辑，属于进阶用法，公开示例相对较少。

总结 #

若有强制要求使用SAML，上述方案可实现适配，但需额外处理SAML断言到API可用令牌的转换逻辑。若无强制要求，更推荐使用OIDC+JWT方案，该方案更贴合前后端分离架构的设计特点。

内容的提问来源于stack exchange，提问作者matt sharp