基于PingIdentity OIDC的跨应用SSO问题：已登录仍需重复认证

一、首次跳转Moodle仍需输入凭证的问题排查与修复 #

核心原因 #

本质是IdP会话未跨应用共享，或Moodle的OIDC认证请求未触发静默登录逻辑，导致PingIdentity未识别到已存在的用户会话，进而要求重新输入凭证。

具体修复步骤 #

• 检查PingIdentity的会话Cookie配置
  确保IdP为app1和Moodle配置的会话Cookie满足跨域共享要求：

  • Cookie的Domain设为两个应用的共同父域（比如app1是app1.yourdomain.com，Moodle是moodle.yourdomain.com，则Domain设为.yourdomain.com）
  • Cookie的SameSite属性设为None，同时开启Secure（仅HTTPS环境生效），避免浏览器跨域拦截Cookie
  • 确认两个应用在PingIdentity中配置的客户端会话策略一致，均允许复用IdP全局会话

• 调整Moodle OIDC插件的认证参数
  在Moodle的OIDC插件配置页（Site administration > Plugins > Authentication > OpenID Connect）：

  • 将Authentication request parameters中的prompt值设为none：告诉PingIdentity，若用户已有有效会话则直接返回认证结果，不弹出登录界面；若会话不存在则返回错误（此时可引导用户回到app1登录）
  • 确保Response type选择code（授权码流程，安全性更高），同时启用PKCE（应对浏览器第三方Cookie限制）

• 优化app1跳转Moodle的逻辑
  React按钮不要直接跳转Moodle首页，而是直接指向Moodle的OIDC认证入口并带上必要参数：

  // React跳转示例代码
  const handleMoodleRedirect = () => {
    const moodleOidcUrl = new URL('https://moodle.yourdomain.com/auth/oidc/login.php');
    moodleOidcUrl.searchParams.set('client_id', 'YOUR_MOODLE_OIDC_CLIENT_ID');
    moodleOidcUrl.searchParams.set('redirect_uri', 'https://moodle.yourdomain.com/auth/oidc/callback.php');
    moodleOidcUrl.searchParams.set('response_type', 'code');
    moodleOidcUrl.searchParams.set('scope', 'openid email profile');
    moodleOidcUrl.searchParams.set('prompt', 'none');
    moodleOidcUrl.searchParams.set('state', btoa(JSON.stringify({ redirect: '/' }))); // 自定义跳转后页面
    window.location.href = moodleOidcUrl.toString();
  };
  

  跳转时会直接触发Moodle的OIDC认证流程，PingIdentity识别到已有会话后自动完成认证，无需用户输入凭证。

二、登录app1时向Moodle发起内部认证请求的可行性与实现方案 #

完全可以实现，核心思路是利用PingIdentity的OIDC Token能力，让app1在用户登录后为Moodle预建立认证会话，具体有两种方案：

方案1：利用IdP的Token Exchange获取Moodle专属Token #

• 在PingIdentity中为app1配置Token Exchange权限，允许app1用自身获取的access_token换取Moodle客户端的access_token和id_token
• app1的Node.js后端在用户登录成功后，调用PingIdentity的Token Exchange端点（通常为/token），参数如下：

  POST /token
  Content-Type: application/x-www-form-urlencoded
  grant_type=urn:ietf:params:oauth:grant-type:token-exchange
  client_id=APP1_CLIENT_ID
  client_secret=APP1_CLIENT_SECRET
  subject_token=APP1_USER_ACCESS_TOKEN
  subject_token_type=urn:ietf:params:oauth:token-type:access_token
  audience=MOODLE_CLIENT_ID
  

• 获取到Moodle的id_token后，app1可将该Token作为参数传递给Moodle的OIDC回调地址，Moodle验证Token有效性后直接为用户创建会话

方案2：静默触发Moodle的OIDC认证流程 #

• app1登录成功后，后端可在服务器端发起Moodle的OIDC认证请求（带prompt=none参数），利用PingIdentity的服务器端会话（若app1后端与IdP有信任连接）或用户的浏览器会话（通过前端iframe静默请求）
• 前端实现方式：在app1登录成功后嵌入隐藏iframe，指向Moodle的OIDC认证URL（带prompt=none），完成静默认证后再引导用户跳转Moodle首页，此时Moodle已存在用户会话

注意事项 #

• 确保Moodle的OIDC插件配置了允许通过id_token直接认证，并验证Token的签名、issuer、audience等字段
• 两个应用的用户标识（OIDC的sub字段）必须一致，否则Moodle无法匹配到对应的用户账号

内容的提问来源于stack exchange，提问作者Uday Kiran