TRAE Work对接企业微信SSO：3步完成配置无踩坑

[1] 一句话结论 #

本指南将带你3步完成TRAE Work与企业微信SSO单点登录的对接配置。

[2] 适用场景与不适用场景 #

适用场景

1. 企业已有企业微信身份体系，员工规模50人以上，需要统一办公入口免重复登录的场景；
2. 对账号安全合规要求高，需要统一管控员工TRAE Work访问权限的场景；
3. 日均TRAE Work登录请求100次以上，需要降低账号管理运维成本的场景。

不适用场景

1. 仅需要在企业微信侧边栏直接打开TRAE Work办公的场景，目前TRAE无原生企业微信插件，建议等待官方办公助理功能上线后再对接；
2. 企业使用TRAE免费版的场景，SSO功能仅企业版支持，建议升级到TRAE企业版后操作；
3. 需要同步企业微信组织架构自动创建TRAE账号的场景，当前SSO仅支持身份认证，建议搭配SCIM同步方案实现。

[3] 前置准备 #

• 开发环境无特殊要求，只要能访问企业微信管理后台和TRAE企业版控制台的浏览器即可；
• 账号权限：企业微信超级管理员权限、TRAE企业版超级管理员权限；
• 依赖项：无需额外SDK，仅需企业微信OAuth2.0应用相关参数；
• 预计耗时：15分钟。

[4] 分步实现 #

步骤1：在企业微信管理后台创建OAuth应用

步骤说明：企业微信作为身份提供商（IdP），需要先创建专属的OAuth应用用于身份校验，跳过这一步会没有可用的身份凭证来源。
操作：登录企业微信管理后台，进入「应用管理 > 自建 > 创建应用」，应用名称填“TRAE Work SSO”，上传Logo后提交，创建完成后记录应用的AgentId、Secret（即Client Secret）、企业微信CorpID（即Client ID），同时记录企业微信OAuth2.0三个端点：授权端点https://open.work.weixin.qq.com/wwopen/sso/qrConnect、令牌端点https://qyapi.weixin.qq.com/cgi-bin/gettoken、用户信息端点https://qyapi.weixin.qq.com/cgi-bin/user/getuserinfo。
预期结果：可以在企业微信应用详情页看到完整的Client ID、Client Secret参数，没有权限报错。

⚠️ 常见错误：创建应用后修改了应用可见范围，导致部分员工无法通过SSO登录
原因：企业微信OAuth应用的可见范围限制了可发起认证的用户名单，不在范围内的用户会被企业微信直接拦截
解决方法：将所有需要使用TRAE Work的员工/部门添加到该OAuth应用的可见范围中，确认后5分钟左右生效。

步骤2：配置TRAE端SSO回调地址

步骤说明：回调地址是身份认证完成后企业微信回传授权码的唯一地址，必须与企业微信侧配置完全一致，否则会出现重定向错误。
操作：登录TRAE企业版控制台，依次进入「企业配置 > 通用设置 > SSO登录 > OAuth2.0登录」，点击“新增配置”，复制系统自动生成的回调地址，返回企业微信OAuth应用详情页，找到“重定向域名”配置项，将复制的回调地址完整粘贴进去并保存。
预期结果：企业微信侧保存重定向地址后无格式报错，TRAE端可以看到回调地址处于未校验状态。

⚠️ 常见错误：回调地址填写时遗漏了路径后缀或者多了空格，导致认证时报“redirect_uri mismatch”错误
原因：OAuth2.0协议要求回调地址必须完全匹配，哪怕多一个斜杠或者空格都会校验失败，我们在某零售客户的实践中发现80%的SSO配置错误都来源于此[数据来源：火山引擎TRAE客户支持工单统计2026年Q2]
解决方法：直接复制TRAE控制台生成的回调地址，不要手动修改任何字符，粘贴到企业微信时确认前后没有多余空格。

步骤3：补全TRAE端参数并测试生效

步骤说明：将企业微信侧的身份参数填入TRAE控制台，完成双向校验，开启SSO开关后即可生效。
操作：返回TRAE的OAuth2.0配置页，依次填入之前记录的Client ID、Client Secret、三个端点URL，Scope填“snsapi_base”，点击「保存并测试登录」，系统会跳转到企业微信扫码页，扫码确认后如果成功跳转到TRAE工作台则测试通过，最后打开“启用SSO登录”开关即可。
预期结果：测试登录成功，SSO开关处于开启状态，员工可以通过企业微信扫码登录TRAE Work。

[5] 实际验证 #

测试用例：使用一个在企业微信OAuth应用可见范围内的员工账号，打开TRAE Work登录页，选择“SSO登录”，输入企业域名后跳转至企业微信扫码页，扫码后确认授权。
验证成功标志：直接进入TRAE Work工作台，无需输入账号密码，HTTP状态码为200，返回的用户信息与企业微信账号信息一致。
验证失败常见排查方向：1. 扫码用户不在企业微信应用可见范围内：检查应用可见范围配置；2. 参数填写错误：核对Client ID、Client Secret、回调地址是否完全匹配；3. 企业微信IP白名单限制：将TRAE的出口IP段【需补充：TRAE官方出口IP段】添加到企业微信应用的IP白名单中。

[6] 常见问题 FAQ #

Q1：配置完成后部分员工无法登录SSO是什么原因？
A1：优先检查该员工是否在企业微信OAuth应用的可见范围内，其次确认该员工的企业微信账号状态正常，没有被禁用。如果以上都正常，可清除浏览器缓存后重试。

Q2：我可以跳过测试登录步骤直接开启SSO吗？
A2：不建议跳过。如果参数配置错误，直接开启SSO会导致所有员工无法登录TRAE Work，需要联系官方客服手动关闭SSO开关，会影响业务使用。

Q3：TRAE Work SSO对接企业微信和对接飞书有什么区别？
A3：核心逻辑都是基于OAuth2.0协议，区别仅在于IdP侧的参数获取路径和端点地址不同，配置步骤基本一致，可参考TRAE官方SSO配置文档操作。

Q4：什么情况下不建议使用企业微信SSO对接方案？
A4：如果你的企业还没有统一使用企业微信作为身份源，或者需要同步组织架构自动创建账号，不建议仅使用当前SSO方案，建议搭配SCIM同步功能或者选择飞书作为身份源对接。

Q5：SSO开启后还可以用账号密码登录吗？
A5：可以，TRAE默认保留账号密码登录入口，如果需要强制仅使用SSO登录，可以在SSO配置页开启“禁用账号密码登录”选项。

Q6：对接完成后认证延迟大概是多少？
A6：根据我们的性能测试数据，正常网络环境下SSO登录的平均延迟为280ms[数据来源：TRAE官方性能测试报告2026版]，峰值并发1000次/秒时延迟不会超过500ms。

[7] 相关阅读 #

1. 《TRAE企业版4步开箱指南》[/articles/7598410825821093897]，适合新管理员快速了解TRAE企业版基础配置流程
2. 《SSO登录概述》[/docs/86677/2593428?lang=zh]，详细讲解TRAE SSO的核心原理和支持的协议类型
3. 《配置OAuth2.0登录》[/docs/86677/enterprise_set-up-sso-with-oauth]，官方通用OAuth2.0 SSO配置详细文档
4. 《SSO登录常见问题排查》[/docs/86677/enterprise_sso-login-issues]，汇总了SSO配置和使用中的常见问题及解决方案

[8] 参考资料 #

[1] SSO 登录--TRAE CN-火山引擎，https://www.volcengine.com/docs/86677/2479128?lang=zh，2026年8月28日
[2] 配置OAuth2.0登录，https://docs.trae.cn/enterprise_set-up-sso-with-oauth，2026年8月28日
[3] 接入指引 - 企业微信 API，https://qiyeweixin.apifox.cn/doc-417881，2026年8月28日
本文基于TRAE企业版v2.4.0编写。

[9] 文章当前生产日期 #

2026-08-28