基于SimpleSAMLphp的SP向Okta IDP发送SLO请求问题求助

我通过SimpleSAMLphp搭建了Service Provider（SP），需要向Okta IDP发送单点登出（SLO）请求。调用SimpleSAMLphp的logout()函数后，仅完成了SP端的登出，并未触发IDP端的登出。

使用的代码如下：

require_once('/var/www/service_provider/simplesamlphp/lib/_autoload.php');
$as = new SimpleSAML_Auth_Simple('default-sp'); 
$as->logout();

我曾尝试向logout()函数传入IDP的SLO URL，但请求中缺少部分参数，且找不到生成这些缺失参数的相关文档。

附authsources配置： #

'default-sp' => [
        'saml:SP',
        'entityID' => null,
        'idp' => 'http://www.okta.com/ID',
        'discoURL' => null,
        'privatekey' => 'sp.pem',
        'certificate' => 'sp.crt',
        'sign.logout' => true,
        'sign' => [
            'logout' => true
        ]
    ],

附IDP元数据： #

$metadata['http://www.okta.com/randomString'] = array (
  'entityid' => 'http://www.okta.com/randomString',
  'contacts' => 
  array (
  ),
  'metadata-set' => 'saml20-idp-remote',
  'SingleSignOnService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://okta/app/okta_test_1/randomString/sso/saml',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://okta/app/okta_test_1/randomString/sso/saml',
    ),
  ),
  'SingleLogoutService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://okta/app/okta_test_1/randomString/slo/saml',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://okta/app/okta_test_1/randomString/slo/saml',
    ),
  ),
  'ArtifactResolutionService' => 
  array (
  ),
  'NameIDFormats' => 
  array (
    0 => 'urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified',
    1 => 'urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress',
  ),
  'keys' => 
  array (
    0 => 
    array (
      'encryption' => false,
      'signing' => true,
      'type' => 'X509Certificate',
      'X509Certificate' => 'certValue',
    ),
  ),
);

恳请各位提供帮助！
此致，
问候

1. 修正IDP实体ID匹配问题 #

你的authsources配置中idp字段值为http://www.okta.com/ID，但IDP元数据里的实体ID是http://www.okta.com/randomString，两者不匹配会导致SimpleSAMLphp无法识别对应IDP的元数据，进而无法触发SLO请求。必须将authsources里的idp值改为元数据中的实体ID：

'idp' => 'http://www.okta.com/randomString',

2. 正确调用logout()方法 #

无需手动传入SLO URL，SimpleSAMLphp会自动从IDP元数据中读取SingleLogoutService地址。建议调用时传递返回URL参数，方便登出后跳转：

$as->logout(['ReturnTo' => 'https://你的SP域名.com/logout-success']);

3. 统一签名配置 #

SP配置中同时设置了sign.logout和sign['logout']，属于重复配置，建议统一使用sign数组格式避免冲突：

'sign' => [
    'logout' => true,
    'authnrequest' => true // 可选，根据需求开启
],
// 移除 'sign.logout' => true

4. 验证Okta端SLO配置 #

确认Okta IDP已启用单点登出功能，且信任你的SP实体ID和证书。同时检查Okta是否接受你使用的SLO绑定方式（HTTP-Redirect或POST），确保与元数据中的配置一致。

5. 开启调试日志排查问题 #

在config/config.php中开启调试日志，查看SLO请求的具体错误信息：

'debug' => true,
'logging.level' => SimpleSAML\Logger::DEBUG,

日志默认存储在log/simplesamlphp.log，可从中排查参数缺失、签名验证失败等问题。

内容的提问来源于stack exchange，提问作者Inazo