作为IDP方，用户登录时出现PermissionDenied/DomainError，请求排查指引

关键排查点 #

• 域名信任配置校验
  • 检查RP网站的注册域名是否完全匹配IDP信任列表中的条目，注意区分带www/不带www域名、HTTP/HTTPS协议，以及非标准端口的配置
  • 确认IDP是否限制了请求的Origin头，当前RP的Origin是否在允许范围内，避免大小写或路径差异导致的校验失败
• 用户权限映射核查
  • 核实该用户所属的角色/用户组，是否被IDP授予了访问目标RP的权限，排查是否存在权限遗漏或角色配置冲突
  • 检查IDP针对该RP的特殊权限规则（如IP段限制、访问时段限制），确认用户当前环境符合规则要求
• 协议参数传递验证
  • 抓包验证RP跳转至IDP时的redirect_uri参数，是否与IDP后台注册的地址完全一致（包括路径、参数顺序）
  • 确认登录请求中的scope参数是否合法，是否包含IDP未授权给该RP的权限范围
• IDP内部规则冲突排查
  • 检查IDP域名白名单是否存在重复配置或规则优先级问题（如拒绝规则优先级高于允许规则）
  • 核实IDP是否启用了域名安全策略（如禁止跨域跳转、限制特定域名后缀），当前RP是否触发了这些策略
• 用户账号状态检查
  • 确认用户账号是否处于正常状态（未锁定、未禁用、账号有效期未过期）
  • 排查用户是否存在多租户/多域归属错误，导致被分配到无权限的域中

内容的提问来源于stack exchange，提问作者Kenzo_Gilead