如何将SAML集成至现有应用：自建账号认证后SSO至服务X

核心定位 #

你的场景属于身份提供者(IdP)发起的SAML单点登录：自有应用作为IdP负责用户身份验证，服务X作为服务提供者(SP)接受SAML断言完成登录。核心是确保只有你司数据库中存在的用户才能触发SSO流程，且禁止反向注册。

分步实现方案 #

1. 加固前置身份验证环节 #

• 保留现有账号密码登录逻辑，严格校验用户是否存在于你司数据库，验证不通过直接终止流程，不给未注册用户进入SSO的机会。
• 用户验证通过后，留存用户唯一标识（如用户ID、绑定邮箱），后续生成SAML断言时必须用这个标识绑定身份。

2. 集成自有应用的SAML IdP能力 #

基于你已完成的ASP.NET Core POC，替换第三方IdP逻辑为自有系统的SAML IdP实现：

• 导入服务X的SP元数据：从服务X获取它的SAML配置信息（实体ID、ACS回调地址、验证证书等），在你的应用中存储并配置这些参数，确保生成的SAML断言符合服务X的要求。
• 生成合规的SAML断言：
  • 断言必须包含用户的唯一身份标识（匹配服务X期望的NameID格式），且该标识必须对应你司数据库中已存在的用户，绝对不能动态生成新标识。
  • 添加NotBefore和NotOnOrAfter时间戳，限制断言的有效时长，防止被非法复用。
  • 用你的IdP私钥对断言签名，服务X会通过你提供的公钥验证签名，确保断言未被篡改。
• 构建SSO跳转请求：将签名后的断言封装成SAML请求，通过HTTP POST重定向到服务X的ACS地址，完成登录跳转。

3. 阻断反向注册的关键配置 #

• 在服务X的SAML设置中，关闭自动创建用户的功能（如果服务X提供该选项），确保只有你司系统发送的已存在用户的断言才能成功登录。
• 在自有应用的IdP逻辑中，强制校验：所有生成SAML断言的请求，必须先通过自有数据库的用户验证，绝不允许根据服务X的请求动态创建新用户。

4. 测试验证要点 #

• 已注册用户测试：登录自有应用后，成功跳转至服务X并完成登录，确认服务X中的用户身份与自有系统一致。
• 未注册用户测试：尝试绕过自有应用直接触发服务X的SAML登录，服务X应返回“用户不存在”错误；在自有应用登录失败时，无法进入SSO流程。

ASP.NET Core代码调整示例 #

替换POC中的第三方IdP逻辑，改为自有系统的验证与SAML断言生成：

// 自有数据库用户验证逻辑
var user = await _userDbContext.Users.FirstOrDefaultAsync(u => 
    u.Username == input.Username && u.PasswordHash == HashPassword(input.Password));
if (user == null)
{
    return BadRequest("账号或密码错误");
}

// 初始化SAML配置（可从配置文件读取）
var samlSettings = _configuration.GetSection("SamlSettings").Get<SamlSettings>();
var spOptions = new SPOptions { EntityId = new EntityId(samlSettings.SPEntityId) };
var idp = new IdentityProvider(new EntityId(samlSettings.IdPEntityId), spOptions)
{
    AllowUnsolicitedAuthnResponse = true,
    SigningCertificate = CertificateUtil.LoadCertificate(samlSettings.SigningCertPath),
    SingleSignOnServiceUrl = new Uri(samlSettings.AcsUrl)
};

// 生成SAML认证请求并跳转
var authRequest = new Saml2AuthenticationRequest(spOptions, idp);
authRequest.NameIDPolicy = new NameIDPolicy { Format = NameIdFormat.EmailAddress, SPNameQualifier = samlSettings.SPEntityId };
return Redirect(authRequest.RedirectUrl);

内容的提问来源于stack exchange，提问作者SANJANA BAJPAI