使用itfoxtec处理Azure AD Unbind时提示X509证书链无效问题

这个异常和SAML2请求、响应阶段使用的配置是否一致没有关系，本质是运行代码的主机环境在做SAML响应签名证书合法性校验时，触发了系统层面的证书信任校验失败。

• 报错里的A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.是Windows证书校验模块返回的标准错误：执行binding.Unbind(httpRequest, saml2AuthnResponse)时，SAML2组件默认会对Azure AD返回的SAML响应附带的签名证书做完整链路校验，沿着证书签发关系向上追溯到根CA证书时，发现该根证书不在当前运行环境的受信任的根证书颁发机构证书存储内，直接判定证书链无效，抛出AuthenticationException。
• 该问题通常由两类环境问题触发：
  1. 部署应用的Windows Server关闭了自动根证书更新功能，系统内置的受信任根证书列表版本过旧，没有收录Azure ACS服务（对应CN=accounts.accesscontrol.windows.net）证书链依赖的微软官方根CA证书。
  2. 应用运行在裁剪版Windows镜像、容器、物理隔离内网环境中，系统默认没有预置完整的微软官方受信任根证书集合，导致证书链追溯到根节点时找不到合法的信任锚点。
• 补充：完整证书链校验是SAML2协议的默认安全校验逻辑，绝大多数SAML2处理组件默认开启该校验规则，校验过程直接调用操作系统的证书信任接口，不受你代码里Saml2Configuration业务配置的影响。

内容的提问来源于stack exchange，提问作者Shadib