使用SimpleSAMLphp对接Azure AD 多账号场景下登出未跳转指定站点

根因说明 #

Azure AD作为IDP时，门户中配置的登出跳转URL仅在单账号登录、无需账号选择的登出场景下生效。多账号场景下登出流程会触发账号选择交互，原有门户配置的跳转上下文会丢失，必须在SAML登出请求中显式携带跳转参数才能生效。

修复步骤 #

• 构造带必填参数的SAML登出请求
  登出请求中必须显式携带RelayState参数，参数值为你期望跳转的目标URL，该URL需要同时在Azure AD应用的「重定向URI」和「SAML登出URL」配置中完成登记，否则会被微软安全策略拦截。
  标准登出请求拼接格式如下：
  https://login.microsoftonline.com/{你的租户ID}/saml2?SAMLRequest={Base64编码后的SAML登出请求体}&RelayState={URL编码后的目标跳转地址}
• 确保登出请求带有效签名
  多账号场景下Azure AD要求SAML登出请求必须使用应用配置的SAML签名证书签名，未签名的登出请求会被忽略RelayState参数，导致跳转失效。
• 补全登出请求的账号定位参数
  登出请求的SAML断言中必须包含登录时Azure AD返回的NameID和SessionIndex两个参数，用于精确定位要登出的目标账号，参数缺失会导致账号选择后跳转上下文丢失。
• 核对Azure AD侧配置
  1. 进入Azure Active Directory → 应用注册 → 对应SAML应用 → 身份验证，确认目标跳转URL已添加到Web类型的重定向URI列表中
  2. 进入应用的「单一登录」→ SAML配置，确认登出URL与跳转目标URL完全一致

内容的提问来源于stack exchange，提问作者bshah