单点登录-OAuth2

本文说明当前应用单点登录页面中的 OAuth 2.0 配置。OAuth 2.0 是授权框架，不能自动等同于 OIDC 身份认证。

功能说明

当目标应用支持平台当前暴露的 OAuth 2.0 接入方式时，可以在单个应用的单点登录页面配置授权类型、重定向 URI、应用语言信息和 Token 参数。

每个应用只展示实际支持的协议。不存在对所有应用统一生效的 OAuth 2.0 开关。

前置条件

已创建目标应用，且单点登录页面展示 OAuth 2.0。

已从目标应用取得准确的回调地址和授权类型要求。

已明确目标应用如何取得并匹配用户信息。

已准备隔离测试账号和最小授权范围。

当前应用页面提供 CAS 地址和 OAuth 2.0 配置入口；租户地址已脱敏

配置流程

确认平台与目标应用角色

确认数犀集成平台和目标应用分别承担授权服务器、客户端或资源访问方的哪一侧；不要把另一方向的认证源配置混入本页。

选择授权类型

只选择当前表单提供且目标应用真实支持的授权类型。不同应用可用选项可能不同。

登记重定向 URI

填写目标应用提供的精确回调地址，并在目标应用侧登记平台要求的对应参数。协议、域名、路径和大小写必须一致。

配置 Token 参数

按当前表单设置 Token 有效期等参数，并依据安全要求采用最小范围和合理生命周期。

保存并回读

保存后重新进入页面，确认授权类型、重定向 URI 和 Token 参数保持一致。

执行端到端验证

使用测试账号从实际入口发起流程，验证授权结果、账号匹配、拒绝授权、错误回调和 Token 过期场景。

OAuth 2.0 与 OIDC 的边界

OAuth 2.0 主要解决授权，不自动提供标准化的 ID Token 和 Claim。

目标应用如果依赖 ID Token、Discovery 或标准 Claim，应使用其明确支持的 OIDC 接入方式。

当前 OAuth 2.0 表单没有展示统一登出入口，不能把 Token 失效等同于浏览器会话退出。

刷新令牌、PKCE、Token 撤销和其他扩展只有在当前表单与运行契约明确支持时才能作为交付能力。

验证与排错

现象	检查项
回调地址不匹配	核对协议、域名、端口、路径、尾部斜杠和 URL 编码
授权后账号错误	核对用户信息来源、唯一标识和目标应用账号匹配
授权被拒绝	检查应用授权范围、用户状态和目标应用客户端配置
Token 无法使用	检查授权类型、生命周期、Scope 和目标资源要求
退出后仍可访问	分别检查浏览器会话、Access Token、Refresh Token 和目标应用本地会话

验证清单

双方角色和授权类型明确。

重定向 URI 在两端完全一致。

授权范围遵循最小权限。

成功、拒绝、错误回调和过期路径均已验证。

没有把 OAuth 2.0 写成默认提供 OIDC、统一登出或 Token 自动撤销。

Secret、Token、真实账号和租户地址已脱敏。

当前页面参考

从应用管理进入目标应用的 OAuth 2.0 单点配置。

功能说明#

前置条件#

配置流程#

OAuth 2.0 与 OIDC 的边界#

验证与排错#

验证清单#