asp.net程序通过Microsoft Azure中SAML协议实现单点登录

1. 新建应用程序

登录Azure门户，进入左侧菜单“企业应用程序--所有应用程序”，点“新建应用程序”， 继续点“创建你自己的应用程序”，如下图选择和录入名称：

填好应用的名称、想要如何处理应用程序 必须选择第三个“继承未在库中找到的任何其他应用程序（非库）”，之后点“创建”按钮；

2. 单一登录设置

继续1中步骤，进入左侧菜单“单一登录”，选择单一登录方法为“SAML”，如下图：

继续，编辑“基本SAML配置”，如下图：

其中：

** 标识符（实体ID）**，从进入左侧菜单“应用注册”，双击进入该应用，进入左侧菜单“公开API”里复制，如下图：

回执URL，就是你自己web程序中用来处理响应数据的页面，参见后面步骤中的Response.aspx页面；

3、将用户增加到该应用中，此处不赘述；

4、idp--->sp模式测试：



4.1. Azure管理台中操作如下图：



上图中，点击“测试登陆”，之后按照浏览器中显示内容，输入用户名密码，登录Azure成功后会重定向到4.2中Response.aspx页面；

4.2. 我的网站Response.aspx页面中处理如下（仅仅解析数据，不做验签）：

点击查看源代码

 `
   //只解析XML中的用户唯一ID（NameID），不验签
   protected void Page_Load(object sender, EventArgs e)
    {
        if (!IsPostBack)
        {
            try
            {
                string key = "SAMLResponse";
                if (Request.Form.GetValues(key) != null)
                {
                    string sourceSamlResponseXml = Request.Form.GetValues(key)[0];
                    string samlResponseXml = Encoding.UTF8.GetString(Convert.FromBase64String(sourceSamlResponseXml));
                    txtSAMLResponse.Text = samlResponseXml;

                    XmlDocument xmlDoc = new XmlDocument();
                    xmlDoc.LoadXml(samlResponseXml);
                    //命名空间
                    XmlNamespaceManager xmlNamespaceManager = new XmlNamespaceManager(xmlDoc.NameTable);
                    xmlNamespaceManager.AddNamespace("samlp", "urn:oasis:names:tc:SAML:2.0:protocol");
                    xmlNamespaceManager.AddNamespace("assertion", "urn:oasis:names:tc:SAML:2.0:assertion");
                    //只读取数据，不验证数据的完整性（不验签）
                    string loginNo = xmlDoc.SelectSingleNode("/samlp:Response/assertion:Assertion/assertion:Subject/assertion:NameID", xmlNamespaceManager).InnerXml;

                    Response.Write("SP端收到的用户名为：" + loginNo);
                    txtNameID.Text = loginNo;
                }
                else
                {
                    Response.Write("非法访问，不能直接浏览本页面！");
                }
            }
            catch (Exception ex)
            {
                Response.Write("异常：" + ex.Message);
            }
        }
    }`

5、sp--->idp 模式测试：

由我网站端发起：

5.1. 请求登陆的字符，点击查看源代码：

<samlp:AuthnRequest
  xmlns="urn:oasis:names:tc:SAML:2.0:metadata"
  ID="{0}"
  Version="2.0" IssueInstant="2013-03-18T03:28:54.1839884Z"
  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" >
  <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">{1}</Issuer>
</samlp:AuthnRequest>

其中：

ID，Azure AD 使用此属性来填充返回的响应的 InResponseTo 属性。 ID 的开头不能是数字，因此常见的策略是在 GUID 的字符串表示形式前面加上类似于“ID”的字符串。 例如，id6c1c178c166d486687be4aaf5e482730 是有效的 ID。

Issuer，必须与 Azure AD 中云服务的一个 ServicePrincipalNames 完全匹配。 通常，此参数设置为应用程序注册期间指定的应用 ID URI。参照2中实体ID；

重定向URL，从进入左侧菜单“应用注册”后，最上面的“终结点”中获取；

5.2. 重定向时：

点击查看源代码

` protected void Button1_Click(object sender, EventArgs e)
    {
        string requestData = ReadData();
        requestData = string.Format(requestData, "id" + Guid.NewGuid().ToString("N"), "http://XXXXXXX.com/Response.aspx", "https://sts.windows.net/40cfad67-3660-44d8-9f47-XXXXXXXXXXX");

        string requestDataDo = EncodeSamlAuthnRequest(requestData);
        string requestUr = "https://login.microsoftonline.com/40cfad67-3660-44d8-9f47-XXXXXXXXX/saml2?SAMLRequest=" + requestDataDo; 

        Response.Redirect(requestUr, false);//必须增加第二个参数false，否则报：线程正在终止 的异常；
    }

    //先压缩后转base64字符串
    public static string EncodeSamlAuthnRequest(string authnRequest)
    {
        var bytes = Encoding.UTF8.GetBytes(authnRequest);
        using (var output = new MemoryStream())
        {
            using (var zip = new DeflateStream(output, CompressionMode.Compress))
            {
                zip.Write(bytes, 0, bytes.Length);
            }
            var base64 = Convert.ToBase64String(output.ToArray());
            return HttpUtility.UrlEncode(base64);
        }
    }

    private string ReadData()
    {
        string returnData = string.Empty;
        string filepath = Server.MapPath("") + "\\AuthnRequest.txt";
        using (FileStream fs = new FileStream(filepath, FileMode.OpenOrCreate, System.IO.FileAccess.ReadWrite, FileShare.ReadWrite))
        {
            using (StreamReader sr = new StreamReader(fs, Encoding.UTF8))
            {
                returnData = sr.ReadToEnd().ToString();
            }
        }
        return returnData;
    }`
AuthnRequest.txt的内容：参照5.1中介绍；

5.3. 重定向后：

重定向后，浏览器跳转到Azure网站，按照提示输入用户名和密码，登陆后，会重定向到4中的回调Response.aspx页面中，此页面能解析到用户名NameID；

5.4. 注销请求：

点击查看源代码

` /// <summary>
    /// 注销，Azure
    /// </summary>
    /// <param name="sender"></param>
    /// <param name="e"></param>
    protected void btnCancel_Click(object sender, EventArgs e)
    {
        if (string.IsNullOrEmpty(txtNameID.Text.Trim()))
        {
            Response.Write("NameID不能为空！");
            return;
        }
        string requestData = ReadData();

        DateTime dtUtc
            = new DateTime(DateTime.Now.Year, DateTime.Now.Month, DateTime.Now.Day, DateTime.Now.Hour, DateTime.Now.Minute, DateTime.Now.Second, DateTimeKind.Utc);
        string issueInstant = dtUtc.ToString("o");//这是具有 UTC 值和往返格式（“o”）的日期时间字符串。 Azure AD 需要这种类型的日期时间值，但不评估或使用该值。

        requestData = string.Format(requestData, "id" + Guid.NewGuid().ToString("N"), issueInstant, "https://sts.windows.net/40cfad67-3660-44d8-9f47-XXXXXXXXX", txtNameID.Text.Trim());

        string requestDataDo = EncodeSamlAuthnRequest(requestData);
        string cancelRequestUrl = "https://login.microsoftonline.com/40cfad67-3660-44d8-9f47-XXXXXXXXX/saml2?SAMLRequest=" + requestDataDo;

        Response.Redirect(cancelRequestUrl, false);//必须增加第二个参数false，否则报：线程正在终止 的异常；
    }

    public static string EncodeSamlAuthnRequest(string authnRequest)
    {
        var bytes = Encoding.UTF8.GetBytes(authnRequest);
        using (var output = new MemoryStream())
        {
            using (var zip = new DeflateStream(output, CompressionMode.Compress))
            {
                zip.Write(bytes, 0, bytes.Length);
            }
            var base64 = Convert.ToBase64String(output.ToArray());
            return HttpUtility.UrlEncode(base64);
        }
    }

    private string ReadData()
    {
        string returnData = string.Empty;
        string filepath = Server.MapPath("") + "\\LogoutRequest.txt";
        using (FileStream fs = new FileStream(filepath, FileMode.OpenOrCreate, System.IO.FileAccess.ReadWrite, FileShare.ReadWrite))
        {
            using (StreamReader sr = new StreamReader(fs, Encoding.UTF8))
            {
                returnData = sr.ReadToEnd().ToString();
            }
        }
        return returnData;
    }`

LogoutRequest.txt文件内容：

<samlp:LogoutRequest xmlns="urn:oasis:names:tc:SAML:2.0:metadata" ID="{0}" Version="2.0" IssueInstant="{1}" xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
  <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">{2}</Issuer>
  <NameID xmlns="urn:oasis:names:tc:SAML:2.0:assertion">{3}</NameID>
</samlp:LogoutRequest>

5.5. 注销请求后的响应：

点击查看源代码

` protected void Page_Load(object sender, EventArgs e)
    {
        if (!IsPostBack)
        {
            try
            {
                string logoutBackRequestUrl = Request.Url.ToString();//对方请求我们的URL地址(带参数） 也就是我们自己的URL（对方加了参数）
                string logoutBackSamlResponse = Request.QueryString["SAMLResponse"];
                if (!string.IsNullOrEmpty(logoutBackSamlResponse))
                {
                    string logoutBackSignature = Request.QueryString["Signature"];
                    string logoutBackSigAlg = Request.QueryString["SigAlg"];

                    string decCodeLogoutBackSamlResponse = InflateData(logoutBackSamlResponse);

                    txtSAMLResponse.Text = logoutBackSamlResponse;
                    txtSignature.Text = logoutBackSignature;
                    txtSigAlg.Text = logoutBackSigAlg;
                    txtDecCodeSAMLResponse.Text = decCodeLogoutBackSamlResponse;

                    ////////////////////////最终的XML格式参照本目录中文件“LogoutResponse.txt”；
                }
                else
                {
                    Response.Write("非法访问，URL中参数SAMLResponse值不能为空！");
                }

            }
            catch (Exception ex)
            {
                Response.Write("异常：" + ex.Message);
            }
        }
    }
    /// <summary>
    /// 解析：先通过base64转byte[]，然后解压缩后得到byte[]，然后转成普通 字符串；
    /// </summary>
    /// <param name="compressedData"></param>
    /// <returns></returns>
    public string InflateData(string logoutBackSamlResponse)
    {
        byte[] compressedData = Convert.FromBase64String(logoutBackSamlResponse);

        if (compressedData == null) return null;

        int deflen = compressedData.Length * 2;
        byte[] buffer = null;
        string deSamlResponseXml = "";

        using (MemoryStream stream = new MemoryStream(compressedData))
        {
            using (DeflateStream inflatestream = new DeflateStream(stream, CompressionMode.Decompress))
            {
                using (MemoryStream uncompressedstream = new MemoryStream())
                {
                    using (BinaryWriter writer = new BinaryWriter(uncompressedstream))
                    {
                        int offset = 0;
                        while (true)
                        {
                            byte[] tempbuffer = new byte[deflen];

                            int bytesread = inflatestream.Read(tempbuffer, offset, deflen);

                            writer.Write(tempbuffer, 0, bytesread);

                            if (bytesread < deflen || bytesread == 0) break;
                        }    

                        uncompressedstream.Seek(0, SeekOrigin.Begin);
                        buffer = uncompressedstream.ToArray();

                        deSamlResponseXml = Encoding.UTF8.GetString(buffer);

                    }
                }
            }
        }

        return deSamlResponseXml;
    }`
注销请求后的响应的最终的XML格式 “LogoutResponse.txt”的内容：
`<samlp:LogoutResponse ID="_3f6da426-39ca-45c1-8c2c-363746bbe4b0" Version="2.0" IssueInstant="2023-04-24T05:02:19.752Z" Destination="https://xxxxxx.com/Logout.aspx" InResponseTo="idf237c5991545481eb6fce7825a4171b0" xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
    <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://sts.windows.net/40cfad67-3660-44d8-9f47-XXXXXXXXXXX/</Issuer>
    <samlp:Status>
        <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" /></samlp:Status>
</samlp:LogoutResponse>`