OneLoginからのSaml応答の検証

Question

私はOneLoginからのSamlの応答を検証しようとしており、断続的な問題にぶつかっています。 InResponseToのGUID値が数字で始まる場合、トークンの検証は例外メッセージで失敗します。ID4128：この値は有効なSAML IDではありません。パラメータ名：value。ただし、GUIDが文字で始まる場合、トークンは正常に解析されます。

マイコード：

public Saml2SecurityToken GetToken(string token) 
    { 
     var doc = new XmlDocument(); 
     doc.LoadXml(token); 
     var assertionList = doc.GetElementsByTagName("Assertion", "urn:oasis:names:tc:SAML:2.0:assertion"); 

     var handlers = FederatedAuthentication.FederationConfiguration.IdentityConfiguration.SecurityTokenHandlers; 
     var securityTokenXml = assertionList[0].OuterXml; 

     using (var stringReader = new StringReader(securityTokenXml)) 
     { 
      using (var xmlreader = XmlReader.Create(stringReader)) 
      { 
       return (Saml2SecurityToken) handlers.ReadToken(xmlreader); 
      } 
     } 
    } 

マイトークン：

<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" Version="2.0" ID="pfx74145d78-55a9-dd78-00a0-2ee76d06a900" IssueInstant="2017-12-04T17:46:32Z"> 
<saml:Issuer>https://app.onelogin.com/saml/123</saml:Issuer> 
<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> 
    <ds:SignedInfo> 
     <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
     <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" /> 
     <ds:Reference URI="#pfx74145d78-55a9-dd78-00a0-2ee76d06a900"> 
      <ds:Transforms> 
       <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" /> 
       <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
      </ds:Transforms> 
      <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" /> 
      <ds:DigestValue>111</ds:DigestValue> 
     </ds:Reference> 
    </ds:SignedInfo> 
    <ds:SignatureValue>abc...</ds:SignatureValue> 
    <ds:KeyInfo> 
     <ds:X509Data> 
      <ds:X509Certificate>abc...</ds:X509Certificate> 
     </ds:X509Data> 
    </ds:KeyInfo> 
</ds:Signature> 
<saml:Subject> 
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">nameHere</saml:NameID> 
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> 
     <saml:SubjectConfirmationData NotOnOrAfter="2017-12-04T17:49:32Z" Recipient="http://localhost/" InResponseTo="7ee0ebbd-3827-4e53-adc5-b8ec35917f2d" /> 
    </saml:SubjectConfirmation> 
</saml:Subject> 
<saml:Conditions NotBefore="2017-12-04T17:43:32Z" NotOnOrAfter="2017-12-04T17:49:32Z"> 
    <saml:AudienceRestriction> 
     <saml:Audience>AudienceName</saml:Audience> 
    </saml:AudienceRestriction> 
</saml:Conditions> 
<saml:AuthnStatement AuthnInstant="2017-12-04T17:46:31Z" SessionNotOnOrAfter="2017-12-05T17:46:32Z" SessionIndex="_fd124dd0-bb48-0135-5d75-0a8402be19a0"> 
    <saml:AuthnContext> 
     <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef> 
    </saml:AuthnContext> 
</saml:AuthnStatement> 

フルスタックトレース：

at System.IdentityModel.Tokens.Saml2Id..ctor(String value) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadSubjectConfirmationData(XmlReader reader) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadSubjectConfirmationData(XmlReader reader) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadSubjectConfirmation(XmlReader reader) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadSubject(XmlReader reader) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadAssertion(XmlReader reader) 
at System.IdentityModel.Tokens.Saml2SecurityTokenHandler.ReadToken(XmlReader reader) 
at System.IdentityModel.Tokens.SecurityTokenHandlerCollection.ReadToken(XmlReader reader) 

がこれを検証する/読み込むための別の方法はありますか？または、InResponseToを無視/削除することはできますか？

おかげ

Answer 1

OneLoginが数字で始まるIDを持つunsolicted応答を送信している場合は、その後、彼らは仕様に準拠していません。 IDはxsd:IDデータ型で、特定の定義があります。文字またはアンダースコアで始まり、文字、数字、アンダースコア、ハイフン、およびピリオドのみを含む必要があります。

しかし、このを見て、彼らは素敵なことされているので、あなたがあなたのAuthnRequestでそれらを送っID あるInResponseToフィールド...で...だから、あなたは、あなたのコードを修正する必要があることを送信しますあなたが送ったものを受け入れるだけです。確かにこれを修正して、準拠しているはずです。