如何使用ITfoxtec Identity Saml2在.Net Core 5 MVC中实现多IDP的SAML2支持

首先明确，ITfoxtec Identity Saml2完全支持多IDP配置，不需要局限于单appsettings.json的静态配置方案，以下是.NET Core 5 MVC环境下的完整实现步骤：

1. 自定义IDP配置存储 #

首先不建议将多IDP配置全部写死在appsettings.json中，你可以自定义Saml2IdpConfig配置实体，存储每个IDP的独有配置（如IDP实体ID、单点登录地址、签名证书、注销地址等），存储源可根据业务需求选择数据库、分布式缓存、拆分的多个配置文件等。

2. 动态注册多套SAML2认证方案 #

依托ASP.NET Core原生支持多认证方案的特性，遍历所有IDP配置，为每个IDP单独注册唯一标识的SAML2认证方案即可：

// Startup.cs ConfigureServices 阶段
var allIdpConfigs = yourConfigService.GetAllValidIdpConfigs(); // 从自定义存储源读取所有IDP配置
foreach (var idpConfig in allIdpConfigs)
{
    services.AddAuthentication()
        .AddSaml2(idpConfig.UniqueSchemeName, options =>
        {
            // 通用SP配置，所有IDP共用的部分可以抽离复用
            options.SPOptions = new SPOptions
            {
                EntityId = new EntityId("你的服务提供者(SP)实体ID"),
                // 其他通用SP配置按需填写
            };
            // 对应IDP的独有配置
            options.IdpOptions = new IdpOptions
            {
                EntityId = new EntityId(idpConfig.IdpEntityId),
                SingleSignOnServiceUrl = new Uri(idpConfig.SsoServiceUrl),
                SigningCertificate = idpConfig.IdpSigningCert,
                // 其他IDP独有配置按需填写
            };
            // 配置每个IDP对应的回调地址，用方案名区分避免冲突
            options.AssertionConsumerServiceUrl = new Uri(
                $"https://{你的站点域名}/Saml/Acs/{idpConfig.UniqueSchemeName}", 
                UriKind.Absolute
            );
        });
}

3. 实现IDP选择与登录触发逻辑 #

你可以根据业务需求设计IDP选择逻辑，比如提供IDP选择页、根据请求域名/用户邮箱后缀自动匹配IDP，确认对应IDP的认证方案名后触发认证挑战即可：

// 登录触发接口示例
public IActionResult TriggerSamlLogin(string idpSchemeName)
{
    // 校验传入的方案名是否为已注册的有效IDP
    if (!yourConfigService.IsSchemeValid(idpSchemeName))
    {
        return BadRequest("无效的身份提供商配置");
    }
    var authProperties = new AuthenticationProperties
    {
        RedirectUri = Url.Action("Index", "Home") // 认证成功后跳转地址
    };
    return Challenge(authProperties, idpSchemeName);
}

4. 统一处理IDP断言回调 #

通过路由参数区分不同IDP的回调请求，处理断言返回结果完成本地登录逻辑：

[Route("Saml/Acs/{schemeName}")]
public async Task<IActionResult> AssertionConsumerService(string schemeName)
{
    var authResult = await HttpContext.AuthenticateAsync(schemeName);
    if (!authResult.Succeeded)
    {
        // 自定义认证失败处理逻辑
        return RedirectToAction("LoginFailed");
    }
    // 认证成功后读取SAML断言中的用户声明，按需完成本地账户绑定、权限赋值等逻辑
    await HttpContext.SignInAsync(
        CookieAuthenticationDefaults.AuthenticationScheme, 
        authResult.Principal, 
        authResult.Properties
    );
    return Redirect(authResult.Properties.RedirectUri);
}

注意事项 #

• 每个IDP的认证方案名称必须全局唯一，避免认证流程冲突
• 如果需要支持IDP配置热更新，可以配合ASP.NET Core的动态认证方案重载机制实现，无需重启服务
• IDP签名证书、SP签名密钥等敏感信息需要做好安全管控，不要硬编码在配置文件中

内容的提问来源于stack exchange，提问作者Jared