如何通过Okta Web API以编程方式干净获取SAMLResponse？

我正在构建一个将Okta SAML转换为自定义JWT的代理，核心逻辑是获取SAML令牌并以此生成包含自定义声明的私有JWT，架构为 JS UI -.NET WEB API - Okta SSO。

目前已完成以下流程步骤：

• 从.NET WEB API发起POST请求，携带如下JSON payload连接Okta并获取sessionToken：

  {
    "username": "myuser@company.com",
    "password": "mysecret",
    "options": {
      "multiOptionalFactorEnroll": false,
      "warnBeforePasswordExpired": false
    }
  }
  

• 将获取到的sessionToken作为payload，向https://SomeCompany.okta.com/api/v1/sessions?additionalFields=cookieToken发起POST请求，获取一次性令牌（cookieToken）；
• 将cookieToken作为onetimetoken参数，向Okta应用配置的SAML URL（示例：https://SomeCompany.okta.com/app/SomeCompanysso_123/4tg7uknm765on6yhnmk/sso/saml?onetimetoken=THE_TOKEN_I_GOT_IN_STEP2）发起GET请求，返回包含隐藏字段SAMLResponse的完整SSO HTML页面。

现咨询：

1. 是否存在无需从HTML中提取即可干净获取SAMLResponse的方法？
2. 若没有，高效提取的方式是什么？

一、无需提取HTML的干净获取方法 #

Okta官方提供的直接获取SAML断言的路径有两种可行方案：

1. 切换到OIDC流程替代SAML
   如果你的Okta应用支持OpenID Connect（OIDC），可以直接用OIDC授权码流（后端场景也可临时用密码流）获取ID Token（原生JWT格式），再基于这个ID Token生成你的自定义JWT。这种方式完全跳过SAML处理流程，更简洁也符合现代身份认证最佳实践。

2. 使用Okta断言生成API（需管理员权限）
   Okta提供了一个内部API端点可直接生成SAML断言，但需要你的服务账号拥有okta.saml.assertion.generate权限。通过POST请求到https://your-okta-domain/api/v1/saml/assertions，携带用户ID、应用ID等参数，就能直接拿到Base64编码的SAMLResponse，无需处理HTML页面。

二、高效提取HTML中SAMLResponse的方式 #

如果上述方法无法落地，推荐以下两种提取方式：

1. 用HTML解析库（首选）
   在.NET环境中使用HtmlAgilityPack这类成熟库来定位隐藏字段，避免正则匹配的兼容性问题：

   var htmlDoc = new HtmlDocument();
   htmlDoc.LoadHtml(htmlContent);
   var samlResponseNode = htmlDoc.DocumentNode.SelectSingleNode("//input[@name='SAMLResponse']");
   var samlResponse = samlResponseNode?.GetAttributeValue("value", string.Empty);
   

   这种方法能适配各种HTML结构变化，稳定性远高于手动正则。

2. 正则表达式（应急场景）
   若不想引入第三方库，可使用针对性正则匹配，但需注意HTML结构变更可能导致失效：

   var match = Regex.Match(htmlContent, @"<input[^>]+name=""SAMLResponse""[^>]+value=""([^""]+)""", RegexOptions.IgnoreCase);
   var samlResponse = match.Success ? match.Groups[1].Value : string.Empty;
   

内容的提问来源于stack exchange，提问作者T.S.