使用WSSecurityTokenSerializer读取.Net中对SAML声明进行身份验证时出现问题

如何解决使用WSSecurityTokenSerializer读取.Net中对SAML声明进行身份验证时出现问题

| 我有一个SAML断言，希望使用

WSSecurityTokenSerializer

在.Net中进行身份验证。 尽管有一些问题，我还是拥有钥匙链和SAML XML。 首先，我从HTTPS POST获得SAML断言：

// spec says \"SAMLResponse=\" 
string rawSamlData = Request[\"SAMLResponse\"];

// read the base64 encoded bytes
byte[] samlData = Convert.FromBase64String(rawSamlData);

// read back into a UTF string
string samlAssertion = Encoding.UTF8.GetString(samlData);

// get the SAML data in an XML reader
var assertionPostStream = new StringReader(samlAssertion);
var reader = XmlReader.Create(assertionPostStream);

然后，我获得了IdP提供的密钥：

// get the key data
byte[] certificateData = System.IO.File.ReadAllBytes(\"myKeys.p7b\");

// decode the keys
var cms = new SignedCms(SubjectIdentifierType.IssuerAndSerialNumber);
cms.Decode(certificateData);

// we have a keychain of X509Certificate2s,we need a collection of tokens
var certificatesAsTokens =
    from X509Certificate2 cert in cms.Certificates
    select new X509SecurityToken(cert) as SecurityToken;

// get a token resolver
var tokens = new ReadOnlyCollection<SecurityToken>(
    certificatesAsTokens.ToList());
var resolver = SecurityTokenResolver.CreateDefaultSecurityTokenResolver(
    tokens,true);

最后我在这里抛出一个错误：

// use the WS Security stuff to parse the reader
var securityToken = WSSecurityTokenSerializer.
    DefaultInstance.ReadToken(reader,resolver) as SamlSecurityToken;

呼叫

ReadToken

时，出现以下错误：   无法从\'Response \'元素读取具有\'\'ValueType的BinarySecretSecurityToken命名空间的\'urn：oasis：names：tc：SAML：2.0：protocol \的标记。如果期望此元素有效，请确保将安全性配置为使用具有指定名称，名称空间和值类型的令牌。 我的SAML XML开头为：

<Response xmlns=\"urn:oasis:names:tc:SAML:2.0:protocol\" ...

很明显，我在

urn:oasis:names:tc:SAML:2.0:protocol

名称空间中有一个

Response

元素。 知道这里有什么问题吗？     

解决方法

您似乎正在收到SAML2响应。尽管.NET 4.5中支持SAML2，但不幸的是仅支持断言-协议本身（包括响应消息）不支持。 要在.NET中处理SAML2响应，您必须： 验证整个响应消息上的签名。 提取消息的断言部分。 用

Saml2SecurityTokenHandler.ReadToken()

读取令牌。 用

Saml2SecurityTokenHandler.DetectReplayedToken()

验证令牌。 用

Saml2SecurityTokenHandler.ValidateConditions()

验证令牌 使用“ 11”来创建声明标识。 不幸的是，这些方法大多数都受到保护，但是您可以将

Saml2SecurityTokenHandler

子类化并访问它们。 在Sustainsys.Saml2项目的Saml2Response类中可以找到完整的工作示例。