Node.js 配置passport-saml时如何从XML文件读取IdP元数据？

场景说明 #

你正在配置Node.js项目中的passport-saml鉴权策略，核心痛点是不知道如何读取本地存储为XML格式的身份提供方（IdP）元数据，当前passport.js中的SamlStrategy初始化配置全为硬编码占位值，配置代码如下：

passport.use(
new SamlStrategy(
    {
        path: '/login/callback',
        entryPoint: "/entrypoint", //specific for my integration
        issuer: 'passport-saml',
        protocol: "http://",
        cert: 'fake cert', // cert must be provided
        logoutUrl: "/ "
    },
  function(profile, done) {
    findByEmail(profile.email, function(err, user) {
      if (err) {
        return done(err);
      }
      return done(null, user);
    });
  }
)
)

你目前的疑问是，是否需要借助passport-saml-metadata工具完成元数据的读取与配置对接。

落地方案 #

• 是否引入该工具完全可以根据自身需求选择：如果不想手动逐行从XML元数据中提取IdP入口地址、签名证书、登出回调地址等参数，避免硬编码出现格式、拼写错误，引入passport-saml-metadata是成本最低的方案；如果选择手动解析XML实现参数提取也能跑通流程，但需要自行处理不同厂商IdP的元数据格式兼容问题，后续元数据更新时的维护成本更高。
• 引入解析工具后的操作流程非常轻量化：
  1. 安装对应依赖：npm install passport-saml-metadata
  2. 在服务初始化阶段读取本地存储的IdP XML元数据文件，调用解析方法提取SamlStrategy要求的全部IdP侧配置参数
  3. 将解析得到的参数传入SamlStrategy初始化配置，替换当前的硬编码占位值，只保留服务提供方（SP）自定义的业务配置项，比如鉴权回调路径、自身的issuer标识等。

现有配置的踩坑提醒 #

你当前的硬编码配置存在几个高频的鉴权失败诱因：

• 占位证书值'fake cert'无任何签名校验能力，正式环境必须从IdP元数据中提取对应的公钥证书，否则SAML响应的签名校验会直接抛出错误
• logoutUrl字段末尾带了多余的空格，会导致登出请求的路径匹配失败
• 手动写死的protocol字段如果和实际运行环境的请求协议不匹配，会生成格式错误的SAML跳转地址，用解析工具自动提取的配置可以直接规避这类低级错误

内容的提问来源于stack exchange，提问作者Alex Bran