如何使用 ASP.NET Web API 提取和验证 Authorization 标头中的 SAML 令牌？

Question

我有一个 Silverlight 应用程序，它使用 Identity Training Kit 中的 WSTrust 实现从 STS 请求 SAML 令牌。

private void Application_Startup(object sender, StartupEventArgs e)
{
    WSTrustClient wsTrustClient = new WSTrustClient(new WSTrustBindingUsernameMixed(), new EndpointAddress("https://localhost/SecurityTokenService/Service.svc/IWSTrust13"), new UsernameCredentials("user", "password"));
    wsTrustClient.IssueCompleted += new EventHandler<IssueCompletedEventArgs>(wsTrustClient_IssueCompleted);

    RequestSecurityToken rst = new RequestSecurityToken()
    {
        AppliesTo = new EndpointAddress("https://localhost/SilverlightApplication.Web")
    };

    wsTrustClient.IssueAsync(rst); 
}

private void wsTrustClient_IssueCompleted(object sender, IssueCompletedEventArgs e)
{
    this.Resources.Add("SamlToken", e.Result);
    this.RootVisual = new MainPage();
}

然后，Silverlight 应用程序将 SAML 令牌放入对我的 ASP.NET Web API 服务的请求的授权标头中；再次使用相同的 WSTrust 实现。

string uri ="https://localhost/WebApi/api/resource";
WebRequest request = WebRequest.Create(uri);
request.Method = "GET";

RequestSecurityTokenResponse rstr = (RequestSecurityTokenResponse)Application.Current.Resources["SamlToken"];
request.Headers[HttpRequestHeader.Authorization] = "SAML " + rstr.RequestedSecurityToken.RawToken;

request.BeginGetResponse((result) =>
{
    using (WebResponse response = request.EndGetResponse(result))
    {
        // Process Response
    }
}, null);

首先，我这样做是否正确？其次，如果是这样，我如何让我的 ASP.NET Web API 服务检测 SAML 令牌并将其转换为 IClaimsPrincipal 服务器端？

Answer 1

不是 Silverlight 专家，但这里有一系列关于 WebAPI 服务和 WIF 的文章（和一些自定义类） - ASP.NET WebAPI Security 1: Introducing Thinktecture.IdentityModel.Http。

这可能有帮助吗？