Angular+.NET配置Azure SSO的SAML认证遇CORS报错咨询

你碰到的CORS拦截并非后端CORS策略配置错误导致：

• SAML 2.0协议的认证流程天生依赖浏览器全页302跳转，全链路不存在跨域AJAX调用的设计：流程为「用户访问前端受保护路由 -> 跳转至后端SAML发起端点 -> 后端返回302跳转至Azure AD登录页 -> 用户完成身份校验后Azure AD将SAML断言POST至后端回调端点 -> 后端校验断言合法性后建立登录态 -> 重定向回前端页面」。
• 如果在Angular中通过HttpClient等XHR对象请求后端接口，触发的到login.microsoftonline.com的SAML重定向会被浏览器同源策略直接拦截。微软身份登录端点永远不会返回Access-Control-Allow-Origin响应头，这是SAML协议的设计决定的，无法通过在后端添加CORS配置解决。

完全可以不依赖JWT完成SAML认证对接，所有SAML逻辑均可放在.NET后端实现，Angular端不需要做额外的SAML协议适配，具体实现逻辑如下：

• 后端单独配置两个SAML相关端点，不要设计成返回JSON的常规API接口：
  • 登录发起端点（如/auth/saml/login）：负责构造SAML认证请求，直接返回302响应跳转至Azure AD SAML登录地址，不返回JSON格式数据。
  • 断言回调端点（如/auth/saml/callback）：负责接收Azure AD POST提交的SAML断言，完成签名校验、用户信息提取、账号匹配逻辑。
• 用HttpOnly Cookie维持登录态，适配REST API架构：
  • SAML断言校验通过后，后端向响应写入身份认证Cookie，标记HttpOnly、Secure、SameSite=Lax属性，后续Angular发起的所有REST API请求会自动携带该Cookie，后端按常规Cookie认证逻辑校验请求身份即可，完全不需要引入JWT。
  • Cookie写入完成后，直接返回302响应跳转至Angular前端的目标页面。
• Angular端调整登录触发逻辑，避免AJAX请求触发SAML流程：
  • 当检测到用户未登录（如API请求返回401状态码）时，直接通过window.location.href赋值的方式触发全页跳转至后端SAML登录发起端点，不要用HttpClient发起AJAX请求访问该地址，从根源上避免CORS问题。
  • 前端不需要解析SAML响应、不需要处理任何SAML协议相关逻辑，所有认证校验逻辑全部收敛在.NET后端。

• .NET端处理SAML逻辑时直接使用成熟的稳定组件完成SAML请求构造、断言签名校验，不要手写相关逻辑，避免引入安全漏洞。
• 认证Cookie的SameSite属性不要设置为Strict，否则从Azure AD域跳转回后端时，浏览器不会自动携带Cookie，会导致登录态丢失。
• Azure AD后台配置的SAML回调地址必须填写后端的回调端点地址，不要填写Angular前端地址，SAML断言仅需发送给后端校验，前端不需要接触断言内容。
• 不要尝试通过前端代理、给微软端点加CORS白名单的方式绕过CORS限制，这类操作既不符合SAML协议规范，也会带来严重的账号安全风险。

内容的提问来源于stack exchange，提问作者Sofia