ASP.NET Core中WS-Federation认证下SAML令牌返回后签名验证失败

我之前迁移.NET Framework的WS-Federation应用到Core时，也踩过类似的签名验证坑，Core版本的认证逻辑比老框架更严格，细节差异很多。给你列几个重点排查方向：

• 证书配置的显式性差异
  .NET Framework会自动从系统证书存储或元数据中加载签名证书，但ASP.NET Core需要更明确的配置。你要确保：

  1. AddWsFederation里的MetadataAddress能正确拉取到身份提供商的元数据（可以直接在浏览器访问这个地址，确认里面包含签名证书信息）；
  2. 如果元数据加载有问题，手动指定签名证书：

  services.AddAuthentication()
      .AddWsFederation(options =>
      {
          options.MetadataAddress = "https://your-idp.com/FederationMetadata/2007-06/FederationMetadata.xml";
          options.Wtrealm = "your-app-realm-uri";
          options.TokenValidationParameters = new TokenValidationParameters
          {
              ValidateIssuerSigningKey = true,
              // 手动导入证书（示例：从本地文件加载）
              IssuerSigningKeys = new List<SecurityKey> 
              { 
                  new X509SecurityKey(new X509Certificate2("path-to-idp-signing-cert.cer")) 
              }
          };
      });
  

• 签名算法兼容性问题
  ASP.NET Core默认要求使用SHA-256及以上的签名算法，而有些旧身份提供商可能还在用SHA-1。你可以：

  1. 查看IDP返回的SAML令牌，确认签名算法；
  2. 在配置中显式允许对应的算法：

  options.TokenValidationParameters.ValidAlgorithms = new List<string>
  {
      SecurityAlgorithms.RsaSha256Signature,
      SecurityAlgorithms.RsaSha1Signature // 仅当IDP确实使用SHA-1时添加，不推荐长期使用
  };
  

• 元数据缓存过期问题
  如果IDP更新了签名证书，ASP.NET Core可能还在使用缓存的旧元数据。可以调整元数据刷新间隔，或者开发环境临时禁用缓存：

  options.ConfigurationManager = new ConfigurationManager<WsFederationConfiguration>(
      options.MetadataAddress,
      new WsFederationConfigurationRetriever(),
      new HttpDocumentRetriever { RequireHttps = false }) // 开发环境临时关闭HTTPS检查
  {
      RefreshInterval = TimeSpan.FromMinutes(5) // 缩短刷新间隔
  };
  

• 开启详细日志定位具体错误
  签名验证失败的原因很多，最直接的方法是看详细日志。在appsettings.json中添加：

  {
    "Logging": {
      "LogLevel": {
        "Microsoft.AspNetCore.Authentication.WsFederation": "Debug",
        "Microsoft.IdentityModel": "Debug"
      }
    }
  }
  

  启动应用后查看日志，里面会明确说明是证书不匹配、算法不支持还是断言格式不符合规范。

• 中间件顺序与回调路径检查
  确保认证中间件的顺序正确，UseAuthentication()必须在UseAuthorization()之前，而且WS-Federation的回调路径（默认是/signin-wsfed）没有被其他中间件拦截。

内容的提问来源于stack exchange，提问作者Drew