Facebook 工作场所拒绝有效的 SAML 响应令牌

Question

我正在尝试使用我自己的身份提供者验证 facebook 工作场所用户。我已经成功生成了响应令牌，并且还从 onelogin saml-response 验证器检查了它的有效性。但是，facebook 不接受令牌。我使用 ADFS 成功验证了 facebook 工作场所的用户。比较这两个令牌（ADFS 生成和我的自定义 IDP 生成），ADFS 签名标签使用“ds”前缀只有一个区别。而我的没有（只是）。所以，我的问题是在为 facebook 验证用户时是否有必要使用这个前缀。 此外，我找不到将“ds”前缀添加到我的令牌的任何解决方案。手动添加它会使签名无效。

任何帮助将不胜感激。

我正在使用 c# 和 .NET。

Answer 1

.NET 框架的 SignedXml 类不添加 ds 前缀，也不支持指定前缀。 但是，这无关紧要，因为 XML 签名实现不应依赖前缀。元素由它们的名称和命名空间而不是前缀来标识。

我们在不使用 ds 前缀的情况下成功 SSO 到 Facebook，因此 SSO 一定是由于其他原因而失败。