单点登出配置

概述

单点登出（SLO, Single Log-Out）是指用户从一个应用退出后，自动触发用户从其他已集成SSO的应用同时退出的功能。专属集成平台支持两种单点登出机制：

OIDC 协议：支持前端通道登出（Front-Channel Logout）和后端通道登出（Back-Channel Logout）

SAML 协议：支持 SP 发起的单点登出

功能特点

自动级联退出：用户在一个应用中退出后，自动触发所有已集成应用的退出

多协议支持：当前支持 OIDC 协议的单点登出，SAML 协议将后续支持

统一会话管理：集中管理用户会话状态，支持会话超时策略配置

安全防护：防止会话劫持和 CSRF 攻击

单点登出原理

OIDC 前端通道登出（Front-Channel Logout）

前端通道登出通过浏览器重定向实现，适用于不支持后端回调的轻量级应用：

用户在专属集成平台点击"退出登录"

专属集成平台生成登出请求，重定向到 SP 的登出回调地址（logout_uri）

SP 接收到登出请求后，清除本地会话

浏览器从所有已集成的 SP 页面跳转到专属集成平台的登录页

OIDC 后端通道登出（Back-Channel Logout）

后端通道登出通过服务端直接调用实现，适用于需要确保彻底退出的场景：

用户在专属集成平台点击"退出登录"

专属集成平台向各 SP 的后端登出端点（backchannel_logout_uri）发起 POST 请求

各 SP 接收到请求后，清除用户会话并返回确认

专属集成平台清除本地会话，完成登出流程

SAML SP 发起的单点登出

当 SP 应用主动发起登出时：

用户在 SP 应用中点击"退出"

SP 向专属集成平台的 SAML 登出端点发送 LogoutRequest

专属集成平台清除用户会话，并返回 LogoutResponse

专属集成平台向所有已集成的 SP 发送全局登出通知

用户会话被完全清除

前提条件

已完成 OIDC 应用的创建和基础 SSO 配置

SP 应用已正确配置回调地址（logout_uri 或 backchannel_logout_uri）

配置步骤

启用单点登出

进入应用管理

登录专属集成平台，进入 应用中心 > 应用管理

编辑应用

选择需要配置单点登出的应用，点击编辑

启用单点登出

在 单点配置 选项卡中，找到 单点登出 部分，启用 启用单点登出 开关

配置登出回调地址

前端通道登出配置：

配置 登出回调地址（logout_uri）：用户登出后跳转到的页面地址

格式要求：必须是 HTTPS URL（生产环境）或 HTTP URL（开发环境）

后端通道登出配置（可选）：

配置 后端登出地址（backchannel_logout_uri）：专属集成平台直接调用的服务端登出端点

该端点需要能处理 POST 请求并返回 200 OK

配置会话超时

在 参数配置 > 平台设置 > 登录策略 中，可以配置：

会话超时时间：用户无操作后自动退出的时间

密码修改后强制登出：开启后，用户修改密码将自动触发所有应用的登出

测试与验证

测试前端通道登出

登录应用

使用测试账号登录已配置 SSO 的应用

退出登录

在专属集成平台中点击"退出登录"

验证结果

验证浏览器是否自动跳转到配置的 logout_uri，以及其他已集成应用是否同时退出

测试后端通道登出

确认会话有效

登录应用并确认会话有效

调用后端端点

调用后端登出端点验证会话清除

检查日志

检查应用日志确认登出请求已接收

验证清单

检查项	预期结果
用户在平台退出后，SP 应用会话是否清除	是
logout_uri 是否被正确调用	是
后端登出端点是否收到 POST 请求	是
其他已集成应用是否同时退出	是

常见问题

Q：用户退出后，SP 应用没有自动退出？

Q：后端通道登出请求未被处理？

Q：登出后立即又被自动登录？

单点登出配置

概述#

功能特点#

单点登出原理#

OIDC 前端通道登出（Front-Channel Logout）#

OIDC 后端通道登出（Back-Channel Logout）#

SAML SP 发起的单点登出#