如何在常规ASP.NET 4.5应用中借助OKTA身份提供商实现SSO

针对常规ASP.NET应用（涵盖ASP.NET Framework 4.x和ASP.NET Core），结合OKTA元数据文件实现SSO的步骤如下，需要少量配置代码和配置文件调整：

一、ASP.NET Framework 4.x 配置步骤 #

1. 安装依赖包 #

通过NuGet安装以下包：

• Microsoft.Owin.Security.OpenIdConnect
• Microsoft.Owin.Security.Cookies
• Owin

2. 配置Owin Startup类 #

如果项目没有Startup类，新建一个并添加以下代码（替换占位符为你的实际配置）：

using Microsoft.Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using Owin;

[assembly: OwinStartup(typeof(YourAppNamespace.Startup))]
namespace YourAppNamespace
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 设置默认登录认证类型为Cookie
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
            app.UseCookieAuthentication(new CookieAuthenticationOptions());

            // 配置OpenID Connect认证（关联OKTA）
            app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
            {
                ClientId = "你的OKTA应用ClientID", // 从OKTA应用控制台获取
                Authority = "你的OKTA租户域名（如https://your-domain.okta.com）",
                // 直接使用OKTA提供的元数据URL，或者本地文件路径
                MetadataAddress = "https://your-domain.okta.com/oauth2/v1/metadata", 
                RedirectUri = "你的应用回调地址（需与OKTA配置一致，如https://your-app.com/signin-oidc）",
                ResponseType = "code id_token",
                Scope = "openid profile email",
                SignInAsAuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
                UseTokenLifetime = false
            });
        }
    }
}

若使用本地元数据文件，可读取XML并手动解析配置：

var metadataDoc = new System.Xml.XmlDocument();
metadataDoc.Load("~/App_Data/okta-metadata.xml"); // 本地文件路径
// 从元数据中提取授权端点、令牌端点、签名证书等信息，替换上述配置中的对应参数

3. 添加SSO登录触发逻辑 #

在登录页面添加跳转按钮：

<a href="/Account/LoginSSO">使用OKTA登录</a>

在Account控制器中添加触发认证的Action：

public ActionResult LoginSSO(string returnUrl = "/")
{
    if (!Request.IsAuthenticated)
    {
        // 触发OKTA认证挑战
        HttpContext.GetOwinContext().Authentication.Challenge(
            new AuthenticationProperties { RedirectUri = returnUrl },
            OpenIdConnectAuthenticationDefaults.AuthenticationType);
        return new HttpUnauthorizedResult();
    }
    return RedirectToAction("Index", "Home");
}

4. 配置退出逻辑 #

添加退出Action，清除本地Cookie并跳转至OKTA退出端点：

public ActionResult Logout()
{
    // 清除本地认证Cookie和OKTA认证会话
    HttpContext.GetOwinContext().Authentication.SignOut(
        CookieAuthenticationDefaults.AuthenticationType,
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
    
    // 跳转至OKTA退出页面（可从元数据或OKTA控制台获取退出URL）
    var logoutUrl = $"https://your-domain.okta.com/oauth2/v1/logout?id_token_hint={HttpContext.GetOwinContext().Authentication.User.FindFirst("id_token")?.Value}&post_logout_redirect_uri=https://your-app.com/";
    return Redirect(logoutUrl);
}

二、ASP.NET Core 配置步骤（.NET 6+） #

1. 安装依赖包 #

通过NuGet安装Microsoft.AspNetCore.Authentication.OpenIdConnect

2. 配置appsettings.json #

添加OKTA相关配置节点：

"Okta": {
  "ClientId": "你的OKTA应用ClientID",
  "ClientSecret": "你的OKTA应用ClientSecret",
  "Domain": "https://your-domain.okta.com",
  "MetadataAddress": "https://your-domain.okta.com/oauth2/v1/metadata" // 或本地文件路径
}

3. 配置Program.cs #

在服务配置中添加认证逻辑：

var builder = WebApplication.CreateBuilder(args);

// 添加控制器视图服务
builder.Services.AddControllersWithViews();

// 配置身份认证
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.ClientId = builder.Configuration["Okta:ClientId"];
    options.ClientSecret = builder.Configuration["Okta:ClientSecret"];
    options.Authority = builder.Configuration["Okta:Domain"];
    options.MetadataAddress = builder.Configuration["Okta:MetadataAddress"];
    options.ResponseType = "code";
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    options.Scope.Add("email");
    options.SaveTokens = true;
    options.GetClaimsFromUserInfoEndpoint = true;
});

var app = builder.Build();

// 中间件配置
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
// 启用认证和授权中间件（顺序不能错）
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

若使用本地元数据文件，替换MetadataAddress配置为本地文件加载：

var metadata = new OpenIdConnectConfiguration();
using var stream = new FileStream("wwwroot/okta-metadata.xml", FileMode.Open);
await metadata.LoadAsync(stream);
options.Configuration = metadata;

4. 添加登录/退出逻辑 #

登录页面添加按钮：

<a asp-action="Login" asp-controller="Account">使用OKTA登录</a>

Account控制器的登录Action：

public IActionResult Login(string returnUrl = "/")
{
    return Challenge(new AuthenticationProperties { RedirectUri = returnUrl }, OpenIdConnectDefaults.AuthenticationScheme);
}

退出Action：

public async Task<IActionResult> Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
    
    // 跳转至OKTA退出页面
    var postLogoutUri = Url.Action("Index", "Home", null, Request.Scheme);
    var idToken = await HttpContext.GetTokenAsync("id_token");
    var logoutUrl = $"{builder.Configuration["Okta:Domain"]}/oauth2/v1/logout?id_token_hint={idToken}&post_logout_redirect_uri={Uri.EscapeDataString(postLogoutUri)}";
    return Redirect(logoutUrl);
}

关键注意事项 #

• 确保OKTA应用控制台中配置的**回调地址（Redirect URI）**与应用内RedirectUri完全一致（包含协议、域名、端口）。
• 元数据文件包含了OKTA身份提供商的核心配置（授权端点、令牌端点、签名证书等），使用MetadataAddress可自动加载这些配置，避免手动填写错误。
• 若使用本地元数据文件，需确保应用拥有文件读取权限，且文件路径配置正确。
• 测试前确认应用与OKTA租户网络连通，无防火墙拦截。
• 需在OKTA应用中配置所需的权限范围（scope），如profile、email等，确保能获取用户基础信息。

内容的提问来源于stack exchange，提问作者user1039583