ASP.NET 4.6+WIF场景下，如何让SecurityTokenHandler从web.config加载配置？

嘿，我之前在ASP.NET 4.6项目里折腾WIF实现SAML2 SSO时，也从手动硬编码配置改成了从web.config加载，给你分享下具体怎么做：

1. 先在web.config里注册WIF的配置节 #

首先得确保web.config的<configSections>里注册了WIF需要的两个核心配置节，不然系统识别不了这些配置：

<configSections>
  <section name="system.identityModel" type="System.IdentityModel.Configuration.SystemIdentityModelSection, System.IdentityModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089" />
  <section name="system.identityModel.services" type="System.IdentityModel.Services.Configuration.SystemIdentityModelServicesSection, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089" />
</configSections>

2. 配置IdentityModel核心节点 #

接下来在web.config里添加<system.identityModel>节点，这里可以集中定义你的自定义Saml2SecurityTokenHandler、X509CertificateValidator、IssuerNameRegistry，以及证书相关配置：

<system.identityModel>
  <identityConfiguration>
    <!-- 配置自定义IssuerNameRegistry -->
    <issuerNameRegistry type="YourNamespace.YourCustomIssuerNameRegistry, YourAssemblyName">
      <trustedIssuers>
        <add thumbprint="ABC123DEF456GHI789JKL012MNO345PQR678STU" name="YourTrustedIdP" />
      </trustedIssuers>
    </issuerNameRegistry>

    <!-- 配置自定义X509证书验证器 -->
    <certificateValidation certificateValidationMode="Custom" customCertificateValidatorType="YourNamespace.YourCustomX509Validator, YourAssemblyName" />

    <!-- 替换默认的Saml2SecurityTokenHandler为自定义实现 -->
    <securityTokenHandlers>
      <remove type="System.IdentityModel.Tokens.Saml2SecurityTokenHandler, System.IdentityModel" />
      <add type="YourNamespace.YourCustomSaml2Handler, YourAssemblyName">
        <samlSecurityTokenRequirement>
          <!-- 配置受众Uri等Handler专属参数 -->
          <audienceUris>
            <add value="https://your-app-url.com/" />
          </audienceUris>
        </samlSecurityTokenRequirement>
      </add>
    </securityTokenHandlers>

    <!-- 配置用于验证SAML签名的证书 -->
    <certificates>
      <add storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint" findValue="ABC123DEF456GHI789JKL012MNO345PQR678STU" />
    </certificates>
  </identityConfiguration>
</system.identityModel>

记得把上面的命名空间、程序集名、证书thumbprint、受众Uri替换成你自己的实际信息。

3. 在代码中读取配置，替代手动创建对象 #

原来你是手动构建SecurityTokenHandlerConfiguration，现在可以直接通过WIF的内置API获取从web.config加载好的配置，不用再硬编码实例化各种对象：

// 获取全局的联邦配置实例
var federationConfig = FederatedAuthentication.FederationConfiguration;
// 从IdentityConfiguration中筛选出自定义的Saml2Handler
var samlHandler = federationConfig.IdentityConfiguration.SecurityTokenHandlers
    .OfType<YourCustomSaml2Handler>()
    .FirstOrDefault();

if (samlHandler != null)
{
    // 这里直接使用已经加载好配置的Handler即可，IssuerNameRegistry、Validator等参数都已从config读取
    // 比如用它处理SAML断言、生成响应等操作
}

4. 额外注意点 #

• 如果你的自定义Handler有额外的自定义配置参数，可以在web.config的<add>节点下添加<configuration>子节点，然后在Handler类里重写LoadCustomConfiguration方法来读取这些参数。
• 确保证书权限正确：如果证书存在LocalMachine存储，应用程序池的运行身份需要有读取该证书的权限，不然会出现证书加载失败的问题。
• 排查配置问题时，可以开启WIF的日志功能，在<system.diagnostics>里添加如下配置，生成详细的Trace日志：

<system.diagnostics>
  <sources>
    <source name="System.IdentityModel" switchValue="Verbose">
      <listeners>
        <add name="wif-trace" type="System.Diagnostics.XmlWriterTraceListener" initializeData="WIFTrace.log" />
      </listeners>
    </source>
  </sources>
</system.diagnostics>

这样改完之后，所有配置都集中在web.config里，不用每次改参数都重新编译，维护起来方便多了~

内容的提问来源于stack exchange，提问作者Paul Kienitz