在C#类库中验证SAML令牌的最佳实践

windows

2024-03-15 10:19:41

在 C# 类库中验证 SAML 令牌：使用 Windows 标识联合 (WIF) 的指南

问题陈述

在 C# 类库（而不是 MVC 项目）中验证安全断言标记语言 (SAML) 令牌是一项独特的挑战。由于类库中不存在 web.config 文件，因此通常用于验证 SAML 令牌的 Windows 标识联合 (WIF) 框架方法不起作用。

方法

自定义配置节

一种解决方案是创建一个自定义配置节，其中包含类库所需的配置信息，例如可接受的令牌颁发者和受众。然后，使用 ConfigurationManager 类从代码中访问此配置。

手动验证

如果您不想创建自定义配置节，则可以使用 System.IdentityModel.Tokens 库手动验证 SAML 令牌。这个库包含用于验证 SAML 令牌的类。

手动验证步骤

使用 Saml2SecurityTokenHandler 加载令牌。
验证签名。
验证颁发者和受众。
检查声明属性以获取用户身份信息。

示例代码

public ClaimsPrincipal ValidateSamlToken(string tokenString)
{
    // 加载令牌
    var token = tokenHandler.ReadToken(tokenString) as Saml2SecurityToken;

    // 验证签名
    if (!token.Signature.Verify()) { throw new InvalidOperationException("Invalid signature."); }

    // 验证颁发者和受众
    if (token.Issuer != "expectedIssuer" || token.Audience != "expectedAudience") { throw new InvalidOperationException("Invalid issuer or audience."); }

    // 提取声明
    var claims = token.Claims;

    // 创建 ClaimsPrincipal
    var principal = new ClaimsPrincipal(new ClaimsIdentity(claims, "Saml"));

    return principal;
}