Sustainsys.Saml2在超文本传输协议请求中没有找到Saml2响应

Question

我正在努力将Sustainsys.Saml2与Gluu服务器结合起来设置。我使用Sustainsys.Saml2.2.0、Sustainsys.Saml2.Mvc2.2.0和Gluu 3.1.6。我使用的应用程序是针对. NET 4.6.2编译的MVC应用程序。以下是发生的流量：

得到https://localhost:44300/Saml2/SignIn

得到https://lb/idp/profile/SAML2/Redirect/SSO
查询字符串：＜br＞SAMLRequest＝FzHBasmWDIBVHB6D8B2ZLYVTIJCWC FjkGz7rCbY6vUkNiZ5Yw9/tJsg/awXX/pE5 kklTXJj1UQzy7A74PSJF9dq0j K6s RacewkkocakgUnraq3InO8 eu1bfs38jygiDNF6x9luu BwFMVS5U2Kic6AvoptVLK5Mphns6OYLtGvGvKJJKJJJJKKJZKJZR8POGF3JJJYYKYYKKKKJKKKZKKKFZKKJJZKKQ SJJJZJJJWWFyewjrnskaxozoj9uiubgl4odgbtrr1puzz9w3kn3nhqyagwfuvuxsl a47vqz54ipomdlk LC0qTXwznzFWTkeASTNs/oBKcdM1n/0Et5/YfAE=
RelayState=XyC。。。

IDP登录处理等。

POST https://localhost:44300/SAML 2/Acs < br > Body:< br > relay state = XyC...< br> SAMLResponse = PD94...

登录过程结束时的结果是以下异常:

持续系统。Saml2 . exceptions . nosamlresponsefoundexception:在http请求中找不到SAML 2响应

奇怪的是，如果我刷新我的应用程序，异常就会消失，我就正确登录了。

我的朋友。Saml2配置如下：

xml prettyprint-override"><sustainsys.saml2 entityId="https://localhost:44300" returnUrl="https://localhost:44300/Saml2/Acs" minIncomingSigningAlgorithm="SHA1">
    <identityProviders>
      <add entityId="https://lb/idp/shibboleth" signOnUrl="https://lb/idp/profile/SAML2/Redirect/SSO" logoutUrl="https://lb/idp/Authn/oxAuth/logout" allowUnsolicitedAuthnResponse="true" binding="HttpRedirect">
        <signingCertificate storeName="TrustedPeople" storeLocation="LocalMachine" findValue="..." x509FindType="FindByThumbprint" />
      </add>
    </identityProviders>
    <serviceCertificates>
      <add storeName="My" storeLocation="LocalMachine" findValue="..." x509FindType="FindByThumbprint" />
    </serviceCertificates>
</sustainsys.saml2>

更多观察结果：
- 我使用的当前带有 Sustainsys.Saml2 的应用程序在使用 WSO2 或 RedHat SSO 作为 IDP 时工作正常。只是没有使用Gluu服务器。
- 当使用 https://github.com/mcguinness/saml-sp 上的应用程序与Gluu服务器时，连接可以正常工作。

非常感谢您的帮助！

Answer 1

这可能是由同一个站点cookie问题引起的。当SAML响应被发布到ACSendpoint时，验证代码在接收到的响应中查找与Relaystate匹配的cookie。随着现代浏览器默认为samesite=none，客户端将在跨源post中从Idp发送cookie。如果您进行手动刷新，它将被发送。

请检查SAML2.XYZ（其中XYZ与relaystate参数匹配）是否由客户端在第一个请求中发送。如果没有，这是一个需要在Sustainsys.Saml2.Mvc库中修复的错误。我知道我们在Sustainsys.Saml2.AspNetCore2库中进行了修复，但可能也需要在MVC库中进行修复。

作为一种解决方法，您可以创建一个 http 模块，该模块在 Sutainsys.Saml2.Mvc 库设置 cookie 标头后对其进行更改，以确保 Saml2.XYZ cookie 具有 samesite=none。