Okta作为SP入站SAML场景下IDP发起登录跳转外部域名配置问题

你当前的SAML提交代码完全符合规范，不需要修改。遇到的跳转异常是Okta针对Inbound SAML的默认安全限制导致的：Okta默认会拦截IdP发起登录场景下的非同源RelayState，把外部完整URL当做相对路径拼到你的Okta租户域名后，只要调整Okta侧的配置即可解决：

• 进入你当前配置的Inbound SAML身份提供商管理页面
• 开启允许IdP发起登录使用RelayState开关
• 在RelayState根URL配置项中填入你需要跳转的目标域名（比如https://你的业务域名.com），允许多个域名时用逗号分隔
• 保存配置后重新测试，此时你传入的完整目标URL只要属于配置的根域名范围，就会正常跳转，不会被拼接Okta域名

注意事项 #

如果配置完成后仍然不生效，可以检查两个点：

• 你传入的RelayState完整URL是否属于已配置的根域名范围，不在范围内的URL会被Okta拦截，默认跳转到应用配置的默认登录后地址
• 部分旧版Okta租户需要额外在对应SAML应用的默认重定向URL配置中添加目标域名，才能正常识别外部RelayState

内容的提问来源于stack exchange，提问作者m9m9m