使用pysaml2解密SAML2响应：Django集成Okta单点登录求助

刚好之前帮朋友做过类似的Okta SAML集成，结合你的Python 3.5+Django 1.11+PySAML2技术栈，给你整理一套落地的解密方案：

1. 准备解密私钥 #

Okta用Apache的公钥加密SAML响应，那你的应用必须持有对应的私钥（PEM格式）——这个私钥要和Okta那边配置的公钥完全配对。把私钥放在Django项目的安全目录下（比如/your-project/secure-keys/private-key.pem），记得设置文件权限为600，避免其他用户读取。

2. 配置PySAML2的SP参数 #

在你的SAML配置文件（通常是settings.py里的SAML_CONFIG，或者单独的samldb.conf）中，添加解密相关的配置项：

SAML_CONFIG = {
    # 保留你已有的配置：entity_id、metadata、service等
    'key_file': '/your-project/secure-keys/private-key.pem',  # 你的私钥路径
    'cert_file': '/your-project/secure-keys/public-cert.pem',  # 可选，用于签名出站请求
    'allow_unknown_attributes': True,
    'metadata': {
        # 你之前配置的Okta元数据（URL或本地文件）
    },
    # 新增解密配置
    'decrypt': {
        'keys': [
            {
                'key_file': '/your-project/secure-keys/private-key.pem',
                'type': 'RSA',  # 对应Okta用的RSA加密算法
            }
        ]
    }
}

3. 修改响应解析逻辑 #

在处理Okta回调的ACS（断言消费者服务）视图里，调整代码让PySAML2自动处理加密断言。假设你之前用pysaml2.response.Response解析，修改后大概是这样：

from pysaml2 import response
from pysaml2.config import Config
from django.conf import settings
from django.http import HttpResponseBadRequest, HttpResponseRedirect

def saml_acs(request):
    # 从POST中获取SAML响应数据
    saml_response_data = request.POST.get('SAMLResponse')
    if not saml_response_data:
        return HttpResponseBadRequest("Missing SAMLResponse")
    
    # 加载PySAML2配置
    saml_config = Config().load(settings.SAML_CONFIG)
    
    # 初始化Response对象，自动启用解密
    saml_resp = response.Response(config=saml_config)
    saml_resp.load(saml_response_data)
    
    # 先验证响应的合法性（签名、有效期、受众等）
    if not saml_resp.verify():
        return HttpResponseBadRequest("Invalid SAML response")
    
    # 现在get_identity()会返回解密后的用户属性
    user_attrs = saml_resp.get_identity()
    # 示例：获取用户名和邮箱
    username = user_attrs.get('username', [''])[0]
    email = user_attrs.get('email', [''])[0]
    
    # 接下来就是你的登录逻辑：创建/更新用户、设置session等
    # ...
    
    return HttpResponseRedirect('/dashboard/')

4. 避坑提示 #

• 密钥格式转换：如果你的私钥是PKCS#12格式（.p12文件），得先转成PEM：

  openssl pkcs12 -in your-key.p12 -out private-key.pem -nodes
  

• 版本兼容：因为你用Python3.5，建议安装PySAML2 4.x版本（比如4.9.0），更高版本已经不再支持Python3.5了：

  pip install pysaml2==4.9.0
  

• Okta配置核对：去Okta的应用设置里确认：加密断言的算法是RSA-OAEP（PySAML2默认支持），并且使用的公钥确实是你提供的Apache公钥。
• 日志调试：如果解密失败，开启PySAML2的调试日志，能快速定位问题：

  import logging
  logging.basicConfig(level=logging.DEBUG)
  

内容的提问来源于stack exchange，提问作者Phantom