如何验证SharePoint FedAuth Cookie的内容可信度及用户身份？

能否验证并信任这份FedAuth内容？ #

答案是可以的，但得满足几个前提条件：

• 你的自定义API必须和SharePoint所属的身份系统（比如Azure AD、本地AD FS）处于同一信任体系内，并且能获取到对应的验证证书/密钥。
• FedAuth本质是经过编码（通常是Base64，可能还带压缩）的WS-Federation或SAML身份令牌，里面封装了用户身份、会话有效期、受众等核心信息。要验证它，你需要：
  1. 先解码Cookie内容：把你拿到的XML字符串（其实是编码后的令牌载体）解码还原成原始的SAML断言或令牌结构。
  2. 获取身份提供者的公钥证书：SharePoint的身份提供者会用私钥对令牌签名，你需要拿到对应的公钥证书来验证签名合法性。
  3. 做完整的有效性校验：除了签名验证，还要检查令牌的过期时间、受众（Audience，确保是发给你的API的）、颁发者（Issuer，确认是信任的身份源）等字段，缺一不可。

编码部分是否有可通过证书验证的签名哈希？ #

当然有。FedAuth里的令牌（尤其是SAML断言）包含由身份提供者私钥签署的签名段：

• 在解码后的SAML断言中，会有<Signature>节点，里面包含签名值以及对应的公钥证书（或证书指纹）信息。
• 你可以用这个公钥证书来验证签名哈希，确认令牌在传输过程中没有被篡改，并且确实来自你信任的身份提供者。
• 额外注意：如果FedAuth包含敏感信息，可能会被加密，这时候你需要先使用对应的解密密钥解密，才能拿到带签名的断言内容。

关键提醒 #

千万别直接信任未经验证的FedAuth内容——Cookie存在被伪造、篡改的风险，必须经过严格的签名验证和字段校验才能信任。如果你的API和SharePoint在同一个Azure AD租户下，推荐使用官方的身份验证库（比如Microsoft.IdentityModel.Protocols.OpenIdConnect）来处理，能大幅降低手动解析出错的概率。

内容的提问来源于stack exchange，提问作者Harry.NET