Umbraco 8集成第三方IdP发起的SSO技术咨询

我需要在Umbraco 8应用中实现SSO，场景为第三方应用作为IdP发起请求，让用户无需登录即可访问Umbraco内容。计划参考SAML集成方案配置处理传入的签名断言，以下是相关疑问的解答：

1. 该方案是否可行？ #

完全可行。SAML是成熟的SSO标准协议，文章中的思路（接收SAML断言、验证Umbraco会员身份、生成Forms认证Cookie）完全契合Umbraco 8的会员认证逻辑。你提供的代码中，通过FormsAuthentication.SetAuthCookie生成认证凭证，这是Umbraco识别已登录会员的常规方式，只要SAML配置正确、IdP的断言内容符合约定，就能实现第三方发起的SSO登录。

2. saml.config文件应放置在何处？ #

NuGet包不会自动生成saml.config文件，需要手动在项目根目录（与web.config同级目录）创建该文件。创建后需配置IdP的元数据地址、签名证书、断言消费者服务（ACS）地址等核心信息，同时建议将文件的“复制到输出目录”属性设置为“如果较新则复制”，确保应用运行时能读取到配置。

3. Umbraco中如何实现自定义路由？ #

Umbraco 8有专属的组件注册机制，不能直接使用普通ASP.NET路由注册方式，需通过IComposer和IComponent实现路由注册：

public class SsoRouteComposer : IComposer
{
    public void Compose(Composition composition)
    {
        composition.Components().Append<SsoRouteComponent>();
    }
}

public class SsoRouteComponent : IComponent
{
    public void Initialize()
    {
        RouteTable.Routes.MapRoute(
            name: "SamlAcsEndpoint",
            url: "sso/AssertionConsumerService",
            defaults: new { controller = "Sso", action = "AssertionConsumerService" }
        );
    }

    public void Terminate() { }
}

注意：路由的url必须与saml.config中配置的AssertionConsumerServiceURL完全一致，否则IdP的断言无法正确回调到你的接口。

4. 配置SAML后是否仅支持单个客户端？多客户端如何处理？ #

无需为每个客户端配置独立SSO应用，通过修改saml.config即可支持多客户端（多IdP）。只需在配置文件中添加多个<Partner>节点，每个节点对应一个IdP的独立配置（包括实体ID、元数据地址、签名证书等）。处理断言时，SAML库会自动根据传入断言中的Issuer字段匹配对应的Partner配置，实现多客户端的SSO支持。

修正后的SsoController代码 #

原代码存在语法错误（如多余括号、未声明变量），修正后版本如下：

public class SsoController : Controller
{
    public ActionResult AssertionConsumerService()
    {
        try
        {
            bool isInResponseTo = false;
            string partnerIdP = null;
            string userName = null;
            string targetUrl = null;
            IDictionary<string, string> attributes = null;

            // 接收并处理SAML响应中的签名断言
            SAMLServiceProvider.ReceiveSSO(Request, out isInResponseTo, out partnerIdP, out userName, out attributes, out targetUrl);

            // 根据用户名查询Umbraco会员
            var memberService = ApplicationContext.Current.Services.MemberService;
            var checkMember = memberService.GetByUsername(userName);

            if (checkMember == null)
            {
                TempData["ErrorMessage"] = $"用户 {userName} 不存在于本系统中。";
                return Redirect("~/error");
            }

            // 生成Forms认证Cookie，让Umbraco识别已登录用户
            FormsAuthentication.SetAuthCookie(userName, false);
            return RedirectToLocal(targetUrl ?? "~/");
        }
        catch (Exception ex)
        {
            TempData["ErrorMessage"] = "用户认证过程中出现问题。";
            return Redirect("~/error");
        }
    }

    // 辅助方法：验证跳转地址是否为本地地址
    private ActionResult RedirectToLocal(string returnUrl)
    {
        if (Url.IsLocalUrl(returnUrl))
        {
            return Redirect(returnUrl);
        }
        return Redirect("~/");
    }
}

内容的提问来源于stack exchange，提问作者DarkW1nter