如何在Salesforce SP发起SSO时自动预填充Okta登录页用户名？

问题场景 #

已在Salesforce与Okta(OIE)间启用SAML SSO，邮件嵌入Salesforce链接，用户点击后跳转至Okta登录页，希望自动填充用户名。直接访问带username参数的Okta URL可正常填充：

https://example.okta.com/login/login.htm?username=johndoe@example.com

但尝试将参数附加到Salesforce的so或startURL参数时，SAML发起后Okta端的查询参数丢失：

https://example.salesforce.com?so=https://example.okta.com/login/login.htm?username=johndoe@example.com

https://example.force.com?startURL=https://example.force.com/mycompany/s/new-application?recordId=b544u56783KKIq&un=johndoe@example.com

解决思路 #

• 配置Okta端接收RelayState参数填充用户名
  在Okta的Salesforce应用配置中，进入「Sign On」>「SAML Settings」>「Advanced Settings」，开启允许从RelayState提取用户名的选项（OIE环境下可在「Login Page Settings」中找到相关配置）。之后在Salesforce跳转时，将用户名放入RelayState参数中传递，Okta会自动读取该参数填充登录框。

• 自定义Salesforce跳转逻辑
  放弃直接使用so或startURL参数，改用自定义Apex页面或My Domain登录流程：

  1. 创建Apex页面，接收un参数（用户名）；
  2. 页面内构造包含用户名的Okta登录URL，或生成带RelayState参数的SAML跳转请求，确保用户名被正确传递到Okta。

• 改用Okta IdP发起的SSO流程
  直接构造Okta端的IdP初始化SSO链接，同时携带用户名和目标Salesforce页面参数，示例：

  https://example.okta.com/app/salesforce/[你的应用ID]/sso?username=johndoe@example.com&RelayState=https://example.force.com/mycompany/s/new-application?recordId=b544u56783KKIq
  

  用户点击该链接后，Okta自动填充用户名，登录完成后直接跳转至指定Salesforce页面，规避Salesforce发起SSO时的参数过滤问题。

• 检查参数编码与过滤规则
  Salesforce对startURL等参数会进行URL编码和内容过滤，导致附加的username参数丢失。可尝试对整个带参URL进行双重编码后再传递，或使用加密的RelayState参数，在Okta端解密提取用户名。

内容的提问来源于stack exchange，提问作者user2961454