ASP.NET Core单Azure应用服务能否同时支持SAML与Identity Server授权？

完全可以在单个ASP.NET Core项目中实现这两种认证机制，无需拆分为独立项目，也能正常部署到Azure单应用服务。以下是具体实现思路和步骤：

核心实现步骤 #

1. 注册双认证服务 #

在Program.cs中同时注册SAML认证（用于UI）和JWT Bearer认证（用于API），同时配置Cookie认证作为UI的会话存储：

// 先添加Cookie认证作为UI的登录会话载体
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie();

// 注册SAML认证方案
builder.Services.AddAuthentication()
    .AddSaml2(samlOptions =>
    {
        samlOptions.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        // 配置SAML身份提供者的元数据地址、实体ID等参数
        samlOptions.IdentityProvider.EntityId = "https://your-saml-provider-id";
        samlOptions.IdentityProvider.MetadataAddress = "https://your-saml-provider/metadata";
        // 其他SAML相关配置（如断言验证、签名证书等）
    })
    // 注册JWT Bearer认证方案
    .AddJwtBearer(bearerOptions =>
    {
        bearerOptions.Authority = "https://your-identity-server-url";
        bearerOptions.Audience = "your-api-resource-identifier";
        // 配置令牌验证规则（如签名算法、过期检查等）
    });

2. 为UI和API设置差异化授权 #

通过特性或路由约定区分两种认证的适用范围：

• UI页面/控制器：使用[Authorize(AuthenticationSchemes = Saml2Defaults.AuthenticationScheme)]特性，强制用户通过SAML流程完成认证后才能访问；
• API控制器：使用[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]特性，要求请求携带有效的Identity Server颁发的Bearer令牌。

也可以通过中间件批量配置路由规则，比如对所有/api/**路径自动应用Bearer认证策略，其余路径默认使用SAML认证。

3. 部署到Azure应用服务 #

直接将编译后的项目包部署到单个Azure应用服务即可，只需在应用服务的配置项中设置好SAML元数据地址、Identity Server地址等必要参数，无需额外的拆分部署配置。

注意事项 #

• 确保两种认证方案的AuthenticationScheme唯一且不冲突，避免认证逻辑混淆；
• SAML的回调路径（如/saml2/signin）需要在Azure应用服务的CORS设置中允许对应的身份提供者域名（如果跨域访问）；
• API的Bearer认证需确认Identity Server颁发的令牌包含正确的受众（Audience）和权限声明（Claims），否则会导致授权失败。

内容的提问来源于stack exchange，提问作者user729400