MVC 5集成Okta SAML认证问题：清除Cookie后首次登录失败

我之前也遇到过几乎一模一样的问题，用Sustainsys.Saml2 Owin中间件集成Okta时，首次跳转回来AuthenticationManager.GetExternalLoginInfoAsync()总是返回null，第二次就正常。折腾了一阵后找到几个关键原因和解决方案，分享给你：

1. 检查Owin中间件的加载顺序 #

这是最常见的原因！SAML中间件依赖会话和Cookie认证中间件来持久化认证信息，如果加载顺序不对，首次请求时会话还没初始化，认证数据没法存进去，自然读不到。

正确的Startup配置顺序应该是：

public void Configuration(IAppBuilder app)
{
    // 1. 先配置Cookie认证
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        LoginPath = new PathString("/Account/Login")
    });

    // 2. 再配置会话中间件（如果用到的话）
    app.UseSession();

    // 3. 最后注册Saml2中间件
    var samlOptions = new Saml2Options
    {
        // 你的Okta配置...
    };
    app.UseSaml2Authentication(samlOptions);
}

2. 确保RelayState参数正常传递 #

Sustainsys.Saml2靠RelayState来关联认证请求和响应，首次跳转时如果这个参数丢失或解析失败，中间件找不到对应的上下文，就会返回null。

• 检查Okta应用配置：在Okta的SAML设置里，确认Enable RelayState是开启的，并且回调URL没有做额外的重定向导致参数丢失。
• 在Saml2Options里显式指定ReturnUrl参数：

  samlOptions.ReturnUrlParameter = "RelayState";
  

3. 处理SAML断言的Claims映射 #

首次认证时，Okta返回的SAML断言可能缺少NameIdentifier这类关键Claims，导致GetExternalLoginInfoAsync()无法识别用户身份。第二次请求时Okta可能缓存了用户属性，所以正常。

你可以通过自定义Claims转换来补全必要的Claims：

public class SamlClaimsTransformer : IClaimsAuthenticationManager
{
    public ClaimsPrincipal Authenticate(string resourceName, ClaimsPrincipal incomingPrincipal)
    {
        if (!incomingPrincipal.Identity.IsAuthenticated)
            return incomingPrincipal;

        var identity = (ClaimsIdentity)incomingPrincipal.Identity;
        // 检查是否存在NameIdentifier Claim
        if (identity.FindFirst(ClaimTypes.NameIdentifier) == null)
        {
            // 从SAML的NameID中提取
            var samlNameId = identity.FindFirst("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier");
            if (samlNameId != null)
            {
                identity.AddClaim(new Claim(ClaimTypes.NameIdentifier, samlNameId.Value));
            }
        }

        return new ClaimsPrincipal(identity);
    }
}

// 在Startup中配置
samlOptions.SPOptions.ClaimsAuthenticationManager = new SamlClaimsTransformer();

4. 在OnAuthenticated事件中持久化用户身份 #

有时候中间件不会自动把认证后的Principal保存到AuthenticationManager里，需要手动触发SignIn：

samlOptions.Notifications = new Saml2Notifications
{
    OnAuthenticated = context =>
    {
        var authManager = context.OwinContext.Authentication;
        // 持久化身份到Cookie
        authManager.SignIn(new AuthenticationProperties { IsPersistent = true }, context.Principal);
        return Task.CompletedTask;
    }
};

5. 检查回调URL的协议一致性 #

如果你的应用是HTTPS，但Okta配置的回调URL是HTTP，首次跳转时Secure Cookie无法在HTTP请求中发送，导致会话数据丢失。第二次可能浏览器自动跳转到HTTPS，所以正常。

确保Okta的回调URL和应用运行的协议一致（生产环境必须用HTTPS），同时在CookieAuthenticationOptions里设置CookieSecure = CookieSecureOption.Always（生产环境）。

按上面的步骤排查，应该能解决首次认证返回null的问题。我当时是中间件顺序不对加上Claims缺失，调整后就正常了。

内容的提问来源于stack exchange，提问作者xdev