WIF 的自定义 SecurityTokenHandler

Question

我正在尝试实现自定义 SecurityToken 和 SecurityTokenHandler 用于使用 Microsoft.IndentityModel (= Windows Indentity Foundation) 的 STS。

令牌被序列化为带有签名的简单 xml 文档（使用 X509 证书），并且有时（并非总是）被加密（取决于目标领域）。

到目前为止，它运行得很好，但我陷入了 SecurityTokenHandler.CreateSecurityTokenReference(SecurityToken token, bool Attached) 应该返回一个 SecurityKeyIndetifierClause。

我的问题是：什么是 SecurityKey、SecurityKeyIndentifier 和 SecurityKeyIndentifierClause 一般来说和我的 sceanrio （rsa 签名（和加密） xml 令牌）具体来说？

MSDN 中几乎没有任何文档，而且我找不到任何关于此主题的其他有用信息。

提前致谢。

PS：我知道最简单和推荐的方法是使用像 saml 这样的令牌格式构建，但令牌是由遗留系统评估的，该遗留系统需要我无法影响的特定格式。

Answer 1

与此同时，我自己找到了问题的答案：

SecurityKey

SecurityKey 用于加密操作。不记名令牌实现不需要这样做。因此，您可以在 SecurityToken 的相应属性中返回一个空列表：

public override ReadOnlyCollection<SecurityKey> SecurityKeys
{
    get { return new List<SecurityKey>().AsReadOnly(); }
}

SecurityKeyIdentifierClause

正如其他答案已经指出的，SecurityKeyIdentifierClause 是友善的安全令牌的唯一标识符。 SecurityTokenResolver 使用它来返回指定 SecurityKeyIdentifierClause 对应的 SecurityToken。

您自己的 SecurityTokenHandler 实现的最佳解决方案可能是返回 LocalIdKeyIdentifierClause，将您的令牌 ID 作为 localId 参数：

public override SecurityKeyIdentifierClause CreateSecurityTokenReference(SecurityToken token, bool attached)
{
    if (token == null)
        throw new ArgumentNullException("token");

    return new LocalIdKeyIdentifierClause(token.Id);
}

SecurityKeyIdentifier

A SecurityKeyIdentifier 是SecurityKeyIdentifierClauses 的集合。当需要时，您可以在此处使用 System.IdentityModel.Tokens 中的实现。通常不需要您自己处理这个问题。

Answer 2

密钥标识符与自定义令牌一起使用可以完成几件事。它们描述令牌，和/或指向其他相关令牌（因为令牌可以只是指针 - 也许出于性能原因等）。如果您不需要密钥标识符，您可以执行以下操作：

• 从 CanWriteKeyIdentifierClause 返回 false：

  public override bool CanWriteKeyIdentifierClause(SecurityKeyIdentifierClause securityKeyIdentifierClause)
  {
  返回假；
  public

• 从 CreateSecurityTokenReference 返回默认（或 null）值：

  公共覆盖SecurityKeyIdentifierClause CreateSecurityTokenReference（SecurityToken令牌，附加布尔值）
  {
  返回默认值（SecurityKeyIdentifierClause）；
  从CreateSecurityTokenReference