如何识别Azure AD SAML登出请求对应的登出用户参数

你收到的带SAMLRequest参数的回传是SAML 2.0协议标准的HTTP-Redirect绑定登出请求，参数本身经过URL编码+DEFLATE压缩，直接读取原始URL串自然看不到明文字段，按以下流程处理即可拿到用户标识：

• 按标准流程解析SAMLRequest参数
  处理顺序固定：先对参数值做URL解码，再对解码后的二进制内容做inflate解压，最终就能得到标准XML格式的登出请求报文，不需要依赖特定SAML库的封装方法，手动按这个流程处理就能拿到完整内容。
  典型解析后的登出请求报文结构如下：

  <samlp:LogoutRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_xxx-generated-id" Version="2.0" IssueInstant="2024-xx-xxTxx:xx:xxZ">
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">https://sts.windows.net/your-azure-tenant-id/</saml:Issuer>
    <saml:NameID xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">target_user@yourdomain.com</saml:NameID>
    <samlp:SessionIndex>_session-value-matched-with-login-response</samlp:SessionIndex>
  </samlp:LogoutRequest>
  

• 从标准报文中提取用户标识，不需要依赖自定义业务参数
  Azure AD不会在登出请求里附加自定义业务参数，用户身份标识就在标准SAML节点里：
  • NameID节点：值和用户登录成功时Azure AD返回断言里的NameID完全一致，是Azure AD侧对应用户的全局唯一标识，具体格式（邮箱/用户对象ID/域名拼接ID）取决于你应用注册时配置的NameID声明规则
  • SessionIndex节点：值和登录成功时返回断言里的SessionIndex一一对应，你只需要在用户登录时把这个值和本地用户会话做绑定，登出回调时拿到这个值就能直接匹配到本地对应用户的会话，执行销毁操作即可
• 注意事项
  • 处理前记得校验请求合法性：HTTP-Redirect绑定的登出请求会附带SigAlg和Signature参数，用Azure AD租户对应的SAML签名证书校验签名通过后，再执行登出逻辑，避免伪造请求攻击
  • 如果你用的第三方SAML依赖库没有自动解析登出请求的能力，直接按前面说的解码解压流程手动解析即可，不需要额外找特殊配置项，SAML标准对这部分的处理规则是统一的

内容的提问来源于stack exchange，提问作者Lorenzo Correa