.NET 5 Web应用基于ITfoxtec IdentitySaml2对接SAML 2.0登录服务器的配置疑问

首先确保你的SAML配置已经正确指向目标IdP（login.antares.eng.edu），然后通过以下步骤实现自动跳转效果：

1. 确认核心配置 #

先检查appsettings.json里的SAML配置是否正确，至少要包含IdP的SSO地址、你的应用实体ID（Issuer），如果有IdP元数据地址的话直接配置会更省心：

"Saml2": {
  "Issuer": "你的.NET应用实体ID",
  "IdPMetadata": "https://login.antares.eng.edu/idp/shibboleth", // 多数SAML IdP会提供元数据地址，没有的话手动配置SSO地址
  "SignatureAlgorithm": "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256",
  "CertificateValidationMode": "None", // 内部测试环境可用，生产环境需调整为合适的验证方式
  "RevocationMode": "NoCheck"
}

如果不用元数据，就手动指定IdP的SSO地址：

"Saml2": {
  "Issuer": "你的.NET应用实体ID",
  "IdP": {
    "SingleSignOnServiceUrl": "https://login.antares.eng.edu/idp/profile/SAML2/Redirect/SSO",
    "SigningCertificate": "IdP的签名证书内容（Base64格式）"
  },
  // 其他配置同上
}

2. 实现自动触发SSO跳转 #

你观察到的starmaps站点是在页面加载时判断用户未登录，自动发起SAML登录请求。你可以在需要保护的页面（比如首页）添加逻辑，或者直接在全局过滤器里处理，这里给个简单的示例：

在AuthController中完善Login动作 #

这个动作负责生成SAML请求并跳转到IdP：

using ITfoxtec.Identity.Saml2;
using ITfoxtec.Identity.Saml2.MvcCore;
using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Mvc;

public class AuthController : Controller
{
    private readonly Saml2Configuration _config;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public AuthController(Saml2Configuration config, IHttpContextAccessor httpContextAccessor)
    {
        _config = config;
        _httpContextAccessor = httpContextAccessor;
    }

    public async Task<IActionResult> Login(string returnUrl = null)
    {
        // 构建SAML重定向绑定
        var binding = new Saml2RedirectBinding();
        // 设置RelayState，登录成功后跳转回原页面
        binding.SetRelayStateQuery(new Dictionary<string, string> { { Saml2Binding.RelayStateReturnUrl, returnUrl ?? Url.Content("~/") } });

        // 创建认证请求
        var authnRequest = new Saml2AuthnRequest(_config, _httpContextAccessor.HttpContext.User)
        {
            Destination = _config.IdP.SingleSignOnServiceUrl,
            ForceAuthn = false, // 是否强制重新认证
            IsPassive = false
        };

        // 生成跳转响应
        return binding.Bind(authnRequest).ToActionResult();
    }

    // 你已经创建的ACS（断言消费服务）动作保留不变
    [HttpPost("Auth/AssertionConsumerService")]
    public async Task<IActionResult> AssertionConsumerService()
    {
        // 原有的ACS处理逻辑，验证SAML断言并完成登录
        var saml2AuthnResponse = new Saml2AuthnResponse(_config);
        await saml2AuthnResponse.ReadSamlResponseAsync(HttpContext.Request);
        
        if (!saml2AuthnResponse.Status.IsSuccess())
        {
            throw new Exception($"SAML登录失败: {saml2AuthnResponse.Status.Message}");
        }

        // 创建ClaimsPrincipal并登录
        var claimsPrincipal = saml2AuthnResponse.CreatePrincipal();
        await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, claimsPrincipal);

        // 跳转回RelayState指定的地址
        return Redirect(saml2AuthnResponse.RelayState);
    }
}

在首页或全局添加自动跳转逻辑 #

比如在HomeController的Index动作里，判断用户未登录就重定向到Auth/Login：

public class HomeController : Controller
{
    public IActionResult Index()
    {
        if (!User.Identity.IsAuthenticated)
        {
            // 登录成功后跳转回当前页面
            return RedirectToAction("Login", "Auth", new { returnUrl = Request.Path });
        }
        return View();
    }
}

3. 验证效果 #

启动应用后，访问首页时会自动跳转至login.antares.eng.edu，浏览器地址栏会生成类似你看到的包含SAMLRequest和RelayState的链接——这些参数都是ITfoxtec库自动生成并编码的，不需要手动构造。

内容的提问来源于stack exchange，提问作者SkyeBoniwell