GetExternalLoginAsync返回null，Windows 2008 R2上Saml2签名算法异常问题

从你的描述来看，这个问题确实和Windows Server 2008 R2的系统特性紧密相关，下面是针对性的排查和解决步骤：

1. 修正签名算法的配置格式 #

你之前设置minIncomingSigningAlgorithm="SHA256"可能不够准确，Sustainsys.Saml2需要完整的算法URI而非简写。请修改配置为：

// 在SP Options配置代码中
options.SPOptions.MinIncomingSigningAlgorithm = "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256";

如果是通过web.config的XML配置：

<Sustainsys.Saml2 entityId="你的SP实体ID">
  <SPOptions minIncomingSigningAlgorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
</Sustainsys.Saml2>

简写的SHA256在新系统中可能能自动映射，但Windows 2008 R2的.NET环境兼容性较差，使用完整URI能避免识别异常。

2. 安装Windows Server 2008 R2的SHA256支持补丁 #

Windows Server 2008 R2默认对SHA2系列算法的支持不完善，必须安装KB3033929补丁（这是启用SHA256签名支持的关键补丁）。如果服务器还未安装，务必先完成安装并重启服务器。

3. 调整.NET Framework的加密配置 #

即使安装了.NET 4.6.1，Windows 2008 R2上的.NET默认可能仍限制部分加密算法。请在web.config中添加以下配置：

<configuration>
  <runtime>
    <!-- 禁用不安全哈希算法，强制使用SHA2系列安全算法 -->
    <AppContextSwitchOverrides value="Switch.System.Security.Cryptography.Xml.UseInsecureHashAlgorithms=false;Switch.System.Security.Cryptography.Pkcs.UseInsecureHashAlgorithms=false" />
  </runtime>
  <system.web>
    <!-- 确保表单验证使用SHA256算法 -->
    <machineKey validation="HMACSHA256" decryption="AES" />
  </system.web>
</configuration>

这个配置会强制.NET使用更安全的哈希算法，规避系统默认的旧算法限制。

4. 开启详细错误日志定位黄屏问题 #

你提到设置后出现黄屏错误但无具体信息，先开启详细错误输出：

<configuration>
  <system.web>
    <customErrors mode="Off" />
  </system.web>
  <system.webServer>
    <httpErrors errorMode="Detailed" />
  </system.webServer>
</configuration>

这样就能看到黄屏的具体异常信息，比如证书加载失败、算法仍不支持等，方便进一步精准排查。

5. 验证OWIN中间件的顺序 #

确保Sustainsys.Saml2中间件在OWIN管道中的顺序正确，必须放在CookieAuthentication中间件之前，示例代码：

app.UseSustainsysSaml2();
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    // 其他Cookie相关配置
});

错误的中间件顺序可能导致登录信息无法正确传递，进而出现GetExternalLoginInfoAsync返回null的情况。

按照以上步骤逐一排查，应该能解决Windows Server 2008 R2上的特殊兼容问题。

内容的提问来源于stack exchange，提问作者shihalv