如何将使用Forms Authentication的ASP.NET MVC应用作为SAML SSO IDP

.NET 4.5 没有提供可直接通过配置启用的SAML 2.0 IdP（身份提供商）能力，无法零开发完成和Intercom的SAML SSO对接。
.NET 4.5 虽然集成了WIF（Windows Identity Foundation），但这套组件原生仅支持作为SAML SP（服务提供方）对接第三方身份源，完全没有内置SAML IdP所需的请求解析、断言生成、签名封装等核心逻辑，且和你当前使用的Forms Authentication体系没有默认打通的适配，纯配置路径走不通。

别从零开始手写SAML 2.0协议逻辑，这是大量开发者踩坑积累的经验——SAML 2.0的规范细节极多，XML签名规范化、时序校验、命名空间处理、不同SP的兼容适配会产生大量无意义的调试工作量，优先选用经过生产验证的成熟组件快速落地，可选方案如下：

• Sustainsys.Saml2（原Kentor.AuthServices）：选支持.NET Framework 4.5的v0.2x稳定版本即可，这是.NET生态下应用最广的开源SAML2组件，同时支持SP和IdP场景。你不需要替换现有Forms Authentication认证体系，只需要在用户完成现有登录逻辑后，调用组件封装的接口生成符合Intercom要求的SAML响应、完成签名后返回即可，所有协议层的解析、校验、格式封装逻辑都已经内置。
• ComponentSpace SAML 2.0 类库：选择支持.NET 4.5的v2.x版本即可，这个是商业类库，低版本授权成本不高，IdP场景的实现完整度比开源版本更高，官方提供了ASP.NET MVC作为IdP对接各类SaaS（包括Intercom）的现成示例，对SAML边缘场景的兼容更完善，如果项目有少量预算，这是踩坑最少的选择。

Intercom的SAML SSO对接有几个固定要求，配置组件的时候提前匹配即可，不需要额外开发：

• NameID必须使用用户邮箱作为持久化标识，格式需要设置为urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
• SAML响应必须使用你方IdP的X509证书做XML数字签名，断言部分可按需选择是否加密
• 直接从Intercom后台导出SP元数据导入组件配置，不需要手动填写ACS地址、实体ID等参数，能避免大部分配置错误

如果你坚持要完全自定义实现，至少需要完成以下核心逻辑：解析Intercom发来的SAML认证请求并校验合法性、生成符合规范的SAML断言节点、按XML签名规范对响应做签名处理、构造符合HTTP-POST绑定要求的返回表单，整个流程的调试周期通常会是使用成熟组件的5-10倍，非特殊需求不推荐。

内容的提问来源于stack exchange，提问作者Swisher Sweet