Sustainsys.Saml2-Saml2/Acsendpoint在处理SSO时返回错误500

Question

我创建了一个C#ASP.NETCore6.0应用程序，并尝试使用Sustainsys使用Azure AD实现SSO。Saml2，特别是Sustainsys.Saml2.AspNetCore2软件包。在使用localhost在我的开发机器上测试了该实现之后，我可以看到它按预期工作，并对用户进行身份验证，填充身份模型，并重定向到正确的URL。

然而，当使用停靠版本部署到测试环境中时，行为会发生变化。触发SSO时，用户在Azure中成功通过身份验证，但当返回应用程序时，它在Saml2/Acsendpoint返回错误500。查看日志不会显示任何错误，而是报告用户的身份验证成功。

Program.cs配置:

 builder.Services.AddAuthentication(sharedOptions =>
    {
        sharedOptions.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        sharedOptions.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        sharedOptions.DefaultChallengeScheme = "Saml2";
    })
    .AddSaml2(options =>
    {
        var logger = new LoggerFactory();
        options.SPOptions.Logger = new AspNetCoreLoggerAdapter(logger.CreateLogger<Saml2Handler>());

        options.SPOptions.EntityId = new EntityId(AppConfig.Saml_EntityID);
        options.IdentityProviders.Add(
            new IdentityProvider(new EntityId(AppConfig.Saml_AzureID), options.SPOptions)
            {
                Binding = Saml2BindingType.HttpRedirect,
                LoadMetadata = true,
                MetadataLocation = AppConfig.Saml_Metadata,
                DisableOutboundLogoutRequests = false,
                AllowUnsolicitedAuthnResponse = true                
            });
    
        options.SPOptions.PublicOrigin = new Uri(AppConfig.BaseUrl);
        options.SPOptions.ReturnUrl = new Uri(AppConfig.BaseUrl);

        options.SPOptions.WantAssertionsSigned = true;
        options.SPOptions.AuthenticateRequestSigningBehavior = SigningBehavior.Always;
        options.SPOptions.ServiceCertificates.Add(new X509Certificate2(AppConfig.Saml_Cert_Path));
    })
    .AddCookie();

在对问题进行故障排除时，我偶然发现了一些令人困惑的行为，这些行为可能表明也可能不表明问题所在。如果我按照以下步骤操作，我最终可能会达到用户经过身份验证并可以使用应用程序的位置：

< li >单击"登录"以触发Saml认证。 < li >在Saml2/Acs中显示错误500。 < li >单击“刷新”，然后单击“继续”重新提交请求。 < li >然后浏览器继续访问指定的URL，但显示“连接被拒绝” < li >使用浏览器的后退按钮返回到应用程序主页，并刷新页面...维奥拉。登录了！

此外，当检查Saml2/Acsendpoint上的请求头时，我可以看到返回了一个Saml响应，我可以从base64手动解码并读取正确的信息！

如上所述，日志没有提到任何错误，只是:

Initiating login to https://sts.windows.net/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/

和

Successfully processed SAML response _ba082bb8-7d2c-4aa4-a7dc-b1520312d084 and authenticated a*******@********.com

任何帮助或对解决方案的指导将不胜感激！

Answer 1

也许这与。Net Core，但是对于。net framework 4.8存在以下问题:

>

服务提供商的返回URL错误：http://locahost/mysite/saml2/acs而不是正确的http://locahost/mysite/（带尾随斜杠）。因此，有一个不确定的循环http://locahost/mysite/saml2/acs`.

SPOptions SPOptions=new SPOptions（）｛EntityId=new EntityId（spMetadataUrl），ReturnUrl=new Uri（hostUrl/），DiscoveryServiceUrl=new Uri（hostUrl@/DiscoveryService），Organization=Organization，AuthenticateRequestSigningBehavior=SigningBevior。从不，RequestedAuthnContext=RequestedAuthnContext，Logger=Logger，PublicOrigin=hostUri｝

请勿使用 UseExternalSignInCookie mehod，否则不会为当前线程设置 ClaimPrincipal（Cookie 将被解析为 claims，尽管后者不会被设置，但这可以通过下面的代码进行检查）：

< code > SAML 2 authenticationoptions options = createsaml 2 options(配置，证书)；选项。sp options . SAML 2 psecuritytokenhandler = new mysaml 2 psecuritytokenhandler()；

     public class MySaml2PSecurityTokenHandler : Sustainsys.Saml2.Saml2P.Saml2PSecurityTokenHandler
        {
            protected override ClaimsIdentity CreateClaimsIdentity(Saml2SecurityToken samlToken, string issuer, TokenValidationParameters validationParameters)
            {
                ClaimsIdentity identity = base.CreateClaimsIdentity(samlToken, issuer, validationParameters);
                Claim claim = new Claim("Name", "jon.doe");
                Claim[] claims = new Claim[] { claim };
                identity.AddClaims(claims);
    
                return identity;
            }
    }

此外，仅对于Net Framework 4.8，由于owin vs System.Web cookies错误，应使用CookieManager。法典：

var cookieManager = new Microsoft.Owin.Host.SystemWeb.SystemWebCookieManager();    

            Saml2AuthenticationOptions options = CreateSaml2Options(configuration, certificate);

            CookieAuthenticationOptions cookieAuthentication = new CookieAuthenticationOptions()
            {
                AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
                LoginPath = new PathString(configuration.ServiceProviderSignOnUrl),
                CookieManager = сookieManager,
                ReturnUrlParameter = GetBase() + "/",

                Provider = new CookieAuthenticationProvider()
                {
                    // Enables the application to validate the security stamp when the user logs in.
                    // This is a security feature which is used when you change a password or add an external login to your account.

                    OnValidateIdentity = (context) =>
                        {
                            var newIdentity = new ClaimsIdentity(context.Identity);
                            int newcount = 1;
                            newIdentity.AddClaim(new Claim("SIMPLECOUNT", newcount.ToString()));
                            context.ReplaceIdentity(newIdentity);

                            return Task.FromResult<object>(null);
                        }
                }
            };

            app.UseCookieAuthentication(cookieAuthentication);
            app.SetDefaultSignInAsAuthenticationType(cookieAuthentication.AuthenticationType);

            //app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);
            app.UseSaml2Authentication(options);