ITfoxtec Identity SAML 2.0签名LogoutRequest失败，求解决方法

问题现象 #

使用ITfoxtec Identity SAML 2.0生成签名LogoutRequest时，返回以下错误：

Charles Sturt University.
Gateway to Charles Sturt University - Message Security Error.
请求无法完成，因为收到的消息不符合登录服务的安全要求。

通过Firefox SAML-tracer捕获到的请求仅包含SAMLRequest参数，缺少签名相关的SigAlg和Signature字段，说明登出请求未正确签名。

代码问题分析 #

核心问题出在登出请求的配置逻辑：

• SamlLogoutTest函数内部新建了空的Saml2Configuration对象，仅设置了SignAuthnRequest = True（该配置仅控制登录请求签名，与登出请求无关）。
• 未加载签名证书，也未启用登出请求的签名配置。
• SAMLLogoutSISfm方法中已加载证书的config对象未传递给SamlLogoutTest，导致登出请求无法生成有效签名。

修复步骤 #

1. 复用已配置的SAML实例，开启登出请求签名 #

修改代码，将已加载证书的配置传递给登出请求生成函数，并明确开启登出请求签名：

Sub SAMLLogoutSISfm()
    Dim settings = ConfigurationManager.AppSettings

    Dim config As Saml2Configuration = New Saml2Configuration() With
    {
        .AllowedIssuer = settings("SamlIdpSettings:entityid"),
        .SingleSignOnDestination = New System.Uri(settings("SamlIdpSettings:loginurl")),
        .SingleLogoutDestination = New System.Uri(settings("SamlIdpSettings:logouturl")),
        .SignLogoutRequest = True ' 启用登出请求签名
    }

    config.SigningCertificate = ITfoxtec.Identity.Saml2.Util.CertificateUtil.Load(HttpContext.Current.Server.MapPath(settings("SamlIdpSettings:SigningCertificateFile")), settings("SamlIdpSettings:SigningCertificatePassword"), X509KeyStorageFlags.MachineKeySet Or X509KeyStorageFlags.PersistKeySet)
  
    Dim redirectUrl As String = SamlLogoutTest(config, sessionIndex, nameId)
  
    Response.write("here" + redirecturl + "<br/>")
    Response.Redirect(redirectUrl)
End Sub

Function SamlLogoutTest(ByVal config As Saml2Configuration, ByVal sessionIndex As String, ByVal nameId As String) As String
    Try
        Dim settings = ConfigurationManager.AppSettings
        Dim binding = New Saml2RedirectBinding()

        Dim redirBind = binding.Bind(New Saml2LogoutRequest(config) With
        {
            .SessionIndex = sessionIndex,
            .NameId = New System.IdentityModel.Tokens.Saml2NameIdentifier(nameId),
            .Issuer = settings("SamlSpSettings:entityid"),
            .Destination = New System.Uri(settings("SamlIdpSettings:logouturl"))
        })

        Return redirBind.RedirectLocation.ToString()

    Catch ex As Exception
        ' 建议添加异常日志，便于排查问题
        Return Nothing
    End Try
End Function

2. 验证证书配置有效性 #

• 确认SamlIdpSettings:SigningCertificateFile路径正确，Server.MapPath能准确定位到PFX文件。
• 确保应用程序池账号拥有读取证书文件的权限。
• 检查证书未过期，且加载时未抛出私钥访问异常。

3. 验证签名请求生成结果 #

修复后，通过SAML-tracer捕获请求，URL中应包含SAMLRequest、SigAlg和Signature三个参数，说明签名已正确生成。

额外检查点 #

• 确认IDP侧已配置SP的签名证书公钥，确保IDP能验证SP发送的签名请求。
• 检查LogoutRequest中的Issuer、NameID、SessionIndex与登录时获取的值完全一致，IDP可能会验证这些字段的一致性。

内容的提问来源于stack exchange，提问作者David Archer