调用Saml2PostBinding.Unbind()报签名无效，为何validateXmlSignature恒为true

为什么UnbindInternal()方法中的validateXmlSignature参数始终被设置为true #

这是ITfoxtec.Identity.Saml2库符合SAML 2.0协议安全规范的默认设计。XML签名校验是SAML协议中防止请求/响应被篡改、伪造身份的核心安全机制，库默认强制开启校验，是为了避免开发者随意关闭校验引入高危安全漏洞，属于合理的安全默认配置。

你遇到"Signature is invalid"错误的根因 #

你的调用代码存在重复处理的问题：binding.ReadSamlResponse()方法内部已经完成了SAML响应解析、签名校验的全流程，同时会修改传入的saml2AuthnResponse对象的内部状态。你后续再调用binding.Unbind()方法，相当于对已经处理过的消息重复执行验签逻辑，自然会触发签名无效的报错。
你只需要删除代码中多余的binding.Unbind()调用，即可解决该报错。

特殊场景下关闭签名校验的方案（仅测试环境使用，生产环境严禁开启） #

如果确实有本地测试等特殊场景需要临时关闭签名校验，可以自定义子类继承Saml2PostBinding，重写UnbindInternal方法手动调整参数：

public class CustomSaml2PostBinding : Saml2PostBinding
{
    protected override Saml2Request UnbindInternal(HttpRequest request, Saml2Request saml2RequestResponse, string messageName)
    {
        UnbindInternal(request, saml2RequestResponse);
        // 仅测试场景可修改为false，生产环境必须保留为true
        return Read(request, saml2RequestResponse, messageName, validateXmlSignature: false, validateEncryption: true);
    }
}

内容的提问来源于stack exchange，提问作者Chris Mylonas