WS Fed 与 SAML 1.1 和 SAML 2.0 用于 MVC 应用程序中的多个客户端答案

【问题标题】：WS Fed with SAML 1.1 and SAML 2.0 for multiple clients in MVC applicationWS Fed 与 SAML 1.1 和 SAML 2.0 用于 MVC 应用程序中的多个客户端
【发布时间】：2018-06-01 22:09:14
【问题描述】：

我们要求我们的 MVC 客户端应用程序通过登录到他们自己的 IDP 为多个客户提供 SSO 功能。但是其中一些提供了我们已经使用 WSFederationAuthenticationModule 支持的 SAML 1.1，其中一些最近正在发送 SAML 2.0 令牌，这导致我们的 MVC 应用程序失败。

我可以使用 WSFederationAuthenticationModule 来支持 SAML 2.0 令牌吗？

还有哪些其他替代建议？

【问题讨论】：

标签： asp.net-mvc saml saml-2.0 wif ws-federation

【解决方案1】：

我想我找到了解决问题的方法。扩展 Saml2SecurityTokenHandler 解决了我的问题。 WsFedAuthenticationModule 能够成功地将 saml2 令牌转换为 saml 1.1 断言。

【讨论】：

【解决方案2】：

问题是 1.1 强制执行完整的 URI，例如

“http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress”

而 1.2 只允许“电子邮件地址”。

您可以使用 GetOutputClaimsIdentity

并且有类似的东西：

outputIdentity.Claims.Add(new Claim(ClaimTypes.xxx, "rest of URI" + emailaddress));

【讨论】：