Nest.js中如何基于请求体动态配置Passport SAML策略？

要实现同一LoginSSOStrategy根据POST请求体参数动态调整SAML配置（entryPoint、issuer、cert），核心是利用passport-saml提供的动态配置函数，结合Nest.js的请求上下文来实现。下面是具体步骤：

1. 改造自定义Strategy的构造函数 #

Passport SAML的Strategy允许你传入一个getSamlOptions函数，这个函数会接收当前的request对象作为参数，你可以从中提取请求体里的参数，然后返回对应身份提供商的配置。

import { Injectable } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { Strategy } from 'passport-saml';

@Injectable()
export class LoginSSOStrategy extends PassportStrategy(Strategy, 'saml') {
  constructor() {
    super({
      // 基础通用配置（如果有的话）
      callbackUrl: '/api/auth/saml/callback',
      // 关键：动态获取SAML配置
      getSamlOptions: async (request) => {
        // 从POST请求体中获取标识不同身份提供商的参数，比如tenantId或者providerKey
        const { tenantId } = request.body;

        // 验证参数合法性，防止非法请求
        if (!tenantId) {
          throw new Error('Missing required tenant identifier');
        }

        // 根据参数从数据库/配置文件中获取对应的Okta配置
        // 这里模拟从配置源获取，你可以替换成实际的查询逻辑
        const samlConfig = await this.getSamlConfigByTenantId(tenantId);

        if (!samlConfig) {
          throw new Error('Invalid tenant identifier');
        }

        return {
          entryPoint: samlConfig.entryPoint,
          issuer: samlConfig.issuer,
          cert: samlConfig.cert,
          // 其他需要动态调整的配置
        };
      },
    });
  }

  // 模拟根据租户ID获取对应Okta配置的方法
  private async getSamlConfigByTenantId(tenantId: string) {
    // 实际场景中可以从数据库、配置中心读取，建议加入缓存逻辑提升性能
    const configMap = {
      'tenant-okta-1': {
        entryPoint: 'https://your-okta-tenant1.com/app/your-app/sso/saml',
        issuer: 'your-app-issuer-1',
        cert: '-----BEGIN CERTIFICATE-----\n...tenant1 cert content...\n-----END CERTIFICATE-----',
      },
      'tenant-okta-2': {
        entryPoint: 'https://your-okta-tenant2.com/app/your-app/sso/saml',
        issuer: 'your-app-issuer-2',
        cert: '-----BEGIN CERTIFICATE-----\n...tenant2 cert content...\n-----END CERTIFICATE-----',
      },
    };

    return configMap[tenantId];
  }

  async validate(payload: any) {
    // 标准的validate逻辑，处理SAML响应后的用户信息
    return { userId: payload.nameID, email: payload.email, roles: payload.roles };
  }
}

2. 确保请求体被正确解析 #

因为我们要从POST请求体中获取参数，需要确保Nest.js已经配置了body解析中间件：

• 如果你用默认的Express适配器，@nestjs/common已经自动启用了json()和urlencoded()中间件，无需额外配置。
• 如果你用Fastify适配器，需要手动注册body解析插件：

// main.ts
import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';
import { FastifyAdapter, NestFastifyApplication } from '@nestjs/platform-fastify';

async function bootstrap() {
  const app = await NestFactory.create<NestFastifyApplication>(
    AppModule,
    new FastifyAdapter(),
  );
  // 启用form和json格式的body解析
  app.register(require('@fastify/formbody'));
  app.register(require('@fastify/json'));
  await app.listen(3000);
}
bootstrap();

3. 配置AuthGuard并处理POST请求 #

在Auth控制器里，使用AuthGuard('saml')保护对应的POST接口，触发SAML认证流程：

import { Controller, Post, UseGuards, Request, HttpException, HttpStatus } from '@nestjs/common';
import { AuthGuard } from '@nestjs/passport';

@Controller('api/auth')
export class AuthController {
  @Post('saml')
  @UseGuards(AuthGuard('saml'))
  async samlLogin(@Request() req) {
    // 该方法会触发SAML认证重定向，最终返回用户信息
    return req.user;
  }

  @Post('saml/callback')
  @UseGuards(AuthGuard('saml'))
  async samlCallback(@Request() req) {
    // 处理SAML回调，可在此生成JWT或返回用户信息
    try {
      return { user: req.user, accessToken: 'your-generated-jwt-token' };
    } catch (error) {
      throw new HttpException('SAML callback failed', HttpStatus.UNAUTHORIZED);
    }
  }
}

关键注意事项 #

• 配置缓存：如果从数据库查询配置，建议加入Redis等缓存机制，避免重复查询，提升接口性能。
• 参数安全：务必在getSamlOptions中验证请求参数的合法性，防止恶意请求获取敏感的SAML配置。
• SAML配置一致性：确保每个Okta租户的SAML回调URL、受众等配置与你的应用完全匹配，否则会导致认证失败。

内容的提问来源于stack exchange，提问作者Dikcha