Rust插件库samael的使用：探索其功能与在Rust生态中的应用

Samael

这是一个用于Rust的SAML2库。这是一个正在进行中的项目，欢迎提交Pull Request。

主要功能

• SAML消息的序列化和反序列化
• 支持IDP发起的单点登录(SSO)
• 支持SP发起的SSO Redirect-POST绑定
• SAML断言验证工具
  • 支持的加密断言：
    • key info:
      • http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p
      • http://www.w3.org/2001/04/xmlenc#rsa-1_5
    • value info:
      • http://www.w3.org/2001/04/xmlenc#aes128-cbc
      • http://www.w3.org/2009/xmlenc11#aes128-gcm
• SAMLRequest(AuthnRequest)消息签名验证
• 签名SAMLResponse(Response)消息创建

构建与开发

使用nix确保可重复构建：

nix build
# 或进入开发环境
nix develop

基本使用示例

use samael::metadata::{ContactPerson, ContactType, EntityDescriptor};
use samael::service_provider::ServiceProviderBuilder;
use std::collections::HashMap;
use std::fs;
use warp::Filter;

#[tokio::main]
async fn main() -> Result<(), Box<dyn std::error::Error>> {
    openssl_probe::init_ssl_cert_env_vars();

    // 获取IDP元数据
    let resp = reqwest::get("https://samltest.id/saml/idp")
        .await?
        .text()
        .await?;
    let idp_metadata: EntityDescriptor = samael::metadata::de::from_str(&resp)?;

    // 加载公钥和私钥
    let pub_key = openssl::x509::X509::from_pem(&fs::read("./publickey.cer")?)?;
    let private_key = openssl::rsa::Rsa::private_key_from_pem(&fs::read("./privatekey.pem")?)?;

    // 构建服务提供者
    let sp = ServiceProviderBuilder::default()
        .entity_id("".to_string())
        .key(private_key)
        .certificate(pub_key)
        .allow_idp_initiated(true)
        .contact_person(ContactPerson {
            sur_name: Some("Bob".to_string()),
            contact_type: Some(ContactType::Technical.value().to_string()),
            ..ContactPerson::default()
        })
        .idp_metadata(idp_metadata)
        .acs_url("http://localhost:8080/saml/acs".to_string())
        .slo_url("http://localhost:8080/saml/slo".to_string())
        .build()?;

    // 生成元数据
    let metadata = sp.metadata()?.to_string()?;

    // 设置元数据路由
    let metadata_route = warp::get()
        .and(warp::path("metadata"))
        .map(move || metadata.clone());

    // 设置ACS路由
    let acs_route = warp::post()
        .and(warp::path("acs"))
        .and(warp::body::form())
        .map(move |s: HashMap<String, String>| {
            if let Some(encoded_resp) = s.get("SAMLResponse") {
                let t = sp
                    .parse_base64_response(encoded_resp, Some(&["a_possible_request_id"]))
                    .unwrap();
                return format!("{:?}", t);
            }
            format!("")
        });

    // 合并SAML路由
    let saml_routes = warp::path("saml").and(acs_route.or(metadata_route));
    warp::serve(saml_routes).run(([127, 0, 0, 1], 8080)).await;
    Ok(())
}

完整生产级示例

use samael::metadata::{ContactPerson, ContactType, EntityDescriptor};
use samael::service_provider::ServiceProviderBuilder;
use std::collections::HashMap;
use std::fs;
use warp::Filter;

#[tokio::main]
async fn main() -> Result<(), Box<dyn std::error::Error>> {
    // 初始化SSL证书环境变量
    openssl_probe::init_ssl_cert_env_vars();

    // 1. 获取身份提供者(IDP)元数据
    println!("Fetching IDP metadata...");
    let resp = reqwest::get("https://samltest.id/saml/idp")
        .await?
        .text()
        .await?;
    let idp_metadata: EntityDescriptor = samael::metadata::de::from_str(&resp)?;

    // 2. 加载服务提供者(SP)的公钥和私钥
    println!("Loading SP keys...");
    let pub_key = openssl::x509::X509::from_pem(&fs::read("./publickey.cer")?)?;
    let private_key = openssl::rsa::Rsa::private_key_from_pem(&fs::read("./privatekey.pem")?)?;

    // 3. 配置服务提供者
    println!("Configuring Service Provider...");
    let sp = ServiceProviderBuilder::default()
        .entity_id("http://localhost:8080/metadata".to_string())  // SP实体ID
        .key(private_key)  // SP私钥
        .certificate(pub_key)  // SP公钥证书
        .allow_idp_initiated(true)  // 允许IDP发起的SSO
        .contact_person(ContactPerson {  // 联系人信息
            sur_name: Some("Admin".to_string()),
            email_addresses: Some(vec!["admin@example.com".to_string()]),
            contact_type: Some(ContactType::Technical.value().to_string()),
            ..ContactPerson::default()
        })
        .idp_metadata(idp_metadata)  // IDP元数据
        .acs_url("http://localhost:8080/saml/acs".to_string())  // 断言消费服务URL
        .slo_url("http://localhost:8080/saml/slo".to_string())  // 单点登出URL
        .build()?;

    // 4. 生成SP元数据
    println!("Generating SP metadata...");
    let metadata = sp.metadata()?.to_string()?;

    // 5. 设置元数据路由 (/metadata)
    let metadata_route = warp::get()
        .and(warp::path("metadata"))
        .map(move || metadata.clone());

    // 6. 设置断言消费服务路由 (/saml/acs)
    let acs_route = warp::post()
        .and(warp::path("acs"))
        .and(warp::body::form())
        .map(move |form_data: HashMap<String, String>| {
            if let Some(encoded_resp) = form_data.get("SAMLResponse") {
                println!("Received SAMLResponse");
                
                // 解析和验证SAML响应
                match sp.parse_base64_response(encoded_resp, None) {
                    Ok(response) => {
                        println!("Successfully parsed SAML response");
                        // 这里可以处理成功的认证，例如创建会话
                        format!("Authentication successful! {:?}", response)
                    },
                    Err(e) => {
                        println!("Failed to parse SAML response: {:?}", e);
                        format!("Authentication failed: {:?}", e)
                    }
                }
            } else {
                println!("No SAMLResponse in form data");
                "Invalid SAML response".to_string()
            }
        });

    // 7. 设置登录路由 (/login)
    let login_route = warp::get()
        .and(warp::path("login"))
        .map(move || {
            // 生成SP发起的SSO请求
            match sp.generate_authn_request() {
                Ok((request, redirect_url)) => {
                    println!("Generated AuthnRequest, redirecting to: {}", redirect_url);
                    // 在实际应用中应该重定向到IDP
                    format!("Redirect URL: {}", redirect_url)
                },
                Err(e) => format!("Failed to generate authn request: {:?}", e)
            }
        });

    // 8. 合并所有路由
    let saml_routes = warp::path("saml")
        .and(acs_route.or(metadata_route))
        .or(login_route);

    println!("Starting server at http://localhost:8080");
    warp::serve(saml_routes).run(([127, 0, 0, 1], 8080)).await;
    
    Ok(())
}

安装与授权

在Cargo.toml中添加依赖：

[dependencies]
samael = "0.0.19"

本项目采用MIT许可证。