如何自建身份提供商？求推荐合适的npm包（Samlify文档不完善）

可选的npm包推荐 #

• Passport.js：主打认证中间件，搭配passport-saml策略就能快速搭建SAML IDP，生态成熟，文档齐全，适合Express项目。
• SAML2-js：轻量型SAML2库，专门针对IDP和SP实现开发，API简洁，文档比Samlify更直观，对新手友好。
• Okta JWT Verifier：如果偏向OIDC而非SAML方案，这个包可以快速实现基于JWT的身份提供功能，集成Okta生态也很方便。

Samlify 实用实现指南 #

1. 基础初始化配置 #

先安装依赖：

npm install samlify

初始化IDP实例，注意配置元数据、签名证书和私钥：

const samlify = require('samlify');
const fs = require('fs');

const idp = samlify.IdentityProvider({
  metadata: fs.readFileSync('./idp-metadata.xml', 'utf8'),
  privateKey: fs.readFileSync('./idp-private-key.pem', 'utf8'),
  privateKeyPass: 'your-key-passphrase', // 私钥有密码的话填写该字段
  isAssertionEncrypted: false, // 根据需求开启断言加密
  signGetRequest: true, // 对GET请求进行签名
});

2. 处理SP的认证请求 #

在Express路由中处理SP发来的AuthnRequest：

app.get('/sso/login', async (req, res) => {
  try {
    const { extract } = await idp.parseLoginRequest(req);
    // 这里添加自定义用户认证逻辑，比如检查session或数据库
    const user = {
      id: 'user123',
      email: 'user@example.com',
      displayName: 'Test User'
    };
    // 生成SAML响应并返回给SP
    const { context } = await idp.createLoginResponse(user, extract);
    res.type('application/xml').send(context);
  } catch (err) {
    res.status(500).send('SSO Login Failed');
  }
});

3. 暴露IDP元数据 #

元数据是SP识别IDP的关键，需要开放一个路由供SP获取：

app.get('/idp/metadata', (req, res) => {
  res.type('application/xml').send(idp.getMetadata());
});

4. 常见问题解决 #

• 签名验证失败：确认SP和IDP的证书互相配置正确，检查证书为PEM格式，无多余换行或空格。
• 元数据解析错误：手动检查XML结构，确保符合SAML2标准，重点核对实体ID、断言消费者服务地址等核心字段。
• 加密断言问题：开启加密的话，需配置SP的公钥，确保双方加密算法一致（推荐使用RSA-SHA256）。

内容的提问来源于stack exchange，提问作者Tanmay Agarwal