.NET 7下如何使用Saml2ArtifactBinding获取用户Claims

核心流程说明 #

当IDP通过SAMLart参数重定向回你的应用时，你需要先向IDP的Artifact解析服务发送请求，交换出完整的SAML断言，再从中提取用户Claims，具体步骤如下：

具体实现代码 #

假设你的回调路由是/Saml2/AssertionConsumerService，在该Action中添加以下处理逻辑：

using ITfoxtec.Identity.Saml2;
using ITfoxtec.Identity.Saml2.MvcCore;
using ITfoxtec.Identity.Saml2.Schemas;

public async Task<IActionResult> AssertionConsumerService()
{
    // 初始化SAML配置（确保已提前加载IDP元数据、SP实体ID等配置）
    var saml2Config = new Saml2Configuration();
    // 这里替换成你的实际配置加载逻辑，比如从appsettings或元数据文件加载
    saml2Config.Load("IDPMetadata.xml");
    saml2Config.EntityId = "你的SP实体ID";
    // 其他配置：证书、回调地址等...

    // 从请求中提取SAMLart和RelayState参数
    var artifact = Request.Query["SAMLart"].ToString();
    var relayState = Request.Query["RelayState"].ToString();

    // 构建ArtifactResolve请求
    var artifactResolve = new Saml2ArtifactResolve(saml2Config)
    {
        Issuer = new Saml2NameIdentifier(saml2Config.EntityId),
        Artifact = artifact,
    };
    artifactResolve.Create();

    // 发送请求到IDP的Artifact解析端点（从IDP元数据中获取地址）
    var artifactResolutionEndpoint = saml2Config.IDPMetadata.ArtifactResolutionServices[0].Location;
    using var httpClient = new HttpClient();
    var requestContent = new StringContent(artifactResolve.ToXml(), Encoding.UTF8, "application/samlp+xml");
    var response = await httpClient.PostAsync(artifactResolutionEndpoint, requestContent);
    response.EnsureSuccessStatusCode();
    var artifactResponseXml = await response.Content.ReadAsStringAsync();

    // 解析ArtifactResponse并提取Claims
    var artifactResponse = new Saml2ArtifactResponse(saml2Config);
    artifactResponse.ReadXml(artifactResponseXml);
    artifactResponse.Validate();

    // 获取用户Claims集合
    var userClaims = artifactResponse.ClaimsIdentity.Claims;

    // 后续业务逻辑：创建用户会话、跳转首页等
    return RedirectToAction("Index", "Home");
}

关键注意事项 #

• 必须确保IDP元数据中包含ArtifactResolutionServices节点，即IDP支持Artifact解析服务，否则无法完成断言交换
• 配置中要正确设置SP的证书（如果IDP要求请求签名），避免请求被拒绝
• 建议将HttpClient通过依赖注入管理，不要每次请求都实例化，减少资源消耗

常见排查点 #

• 如果请求IDP返回错误，先检查artifactResolve.ToXml()输出的请求格式是否符合SAML规范
• 确认IDP已将你的SP配置为信任实体，允许你的SP调用Artifact解析服务
• 检查网络连通性，确保应用能正常访问IDP的Artifact解析端点

内容的提问来源于stack exchange，提问作者Jonas Machado