使用Django SAML2 Auth对接AzureAD实现SSO时签名验证失败求助

1. 确认xmlsec1验证结果含义 #

你手动执行xmlsec1命令返回空输出b""属于正常情况：xmlsec1仅在签名验证失败时才会输出错误信息，空输出代表离线签名验证是成功的，问题出在Django SAML2 Auth的运行时配置逻辑，不是SAML响应本身的签名错误。

2. 核对AzureAD证书与元数据配置 #

• 确认SAML_CONFIG配置中idp节点下的x509cert值，和AzureAD门户导出的SAML签名证书完全一致，无多余空格、换行、首尾字符遗漏
• 确认使用的是AzureAD SAML配置页的签名证书，而非加密证书、SSO登录证书等其他类型证书
• 如果你开启了元数据自动拉取，先清空Django服务缓存，重新拉取一次元数据，避免缓存的旧证书导致验证失败

3. 对齐签名范围配置 #

• 核对Django侧SAML_CONFIG中的want_response_signed、want_assertions_signed参数与AzureAD侧配置完全匹配：
  • 若AzureAD仅签名断言：want_response_signed = False，want_assertions_signed = True
  • 若AzureAD签名整个SAML响应：两个参数均设为True
• 不要同时开启两个签名校验，除非AzureAD侧确实同时对响应和断言做了签名

4. 修正ID属性与命名空间配置 #

• 确认SAML_CONFIG中配置了正确的idattr参数，值为urn:oasis:names:tc:SAML:2.0:assertion:Assertion，和你手动执行xmlsec1命令中的--id-attr参数一致
• 部分旧版本pysaml2在Windows环境下存在ID属性识别异常，可临时新增allow_unknown_attributes: True到配置中测试是否是属性识别问题

5. 排查Windows临时文件权限问题 #

pysaml2调用xmlsec1时会自动生成临时XML、证书文件，确认运行Django服务的账号对C:\Windows\Temp以及系统默认临时目录有完整读写权限，避免临时文件写入不完整导致验证失败

6. 验证依赖版本兼容性 #

• 升级pysaml2到最新稳定版，7.0以上版本修复了Windows环境下xmlsec1调用参数的适配问题
• 确认你使用的django-saml2-auth包版本和pysaml2、本地xmlsec1（需1.2.x以上版本）兼容

内容的提问来源于stack exchange，提问作者Márcio Bernardes