Ruby on Rails应用如何无需OneLogin UI实现SSO/SLO？

嘿，我来帮你理清这个问题的解决方案——你想要的纯API驱动、无UI跳转的OneLogin SSO/SLO完全是可行的，只是需要调整下实现方式，避开默认的浏览器重定向流。下面一步步拆解：

• 你之前用的Session Token API生成的是应用级会话，和SAML协议定义的全局会话不是一个体系，所以调用log_a_user_out只能销毁当前应用的会话，没法触发OneLogin的全局SLO（需要SAML协议层面的LogoutRequest/LogoutResponse交互）。
• devise_saml_authenticatable默认走的是SAML标准的浏览器重定向流，所以能正常SSO/SLO，但必须跳OneLogin的登录UI。

OneLogin支持Token Initiated SSO和直接的SAML API交互，刚好能满足你用自有表单登录、纯API交互的需求：

步骤1：通过自有表单获取用户凭证，拿到OneLogin会话令牌 #

用户在你的应用表单输入用户名密码后，后端调用OneLogin的Session Token API获取会话令牌：

# 初始化OneLogin SDK客户端
client = OneLogin::RubySdk::Client.new(
  client_id: '你的OneLogin Client ID',
  client_secret: '你的OneLogin Client Secret'
)

# 用用户输入的凭证获取session token
session_token = client.create_session_token(
  username_or_email: params[:email],
  password: params[:password]
)

步骤2：用会话令牌生成并验证SAML响应 #

拿到session token后，直接调用OneLogin的API生成SAML Response，然后在你的应用里验证并创建会话：

# 生成SAML Response（需要传入你的应用Entity ID）
saml_response = client.get_saml_response(
  issuer: '你的应用Entity ID', # 在OneLogin应用配置里的Audience字段
  session_token: session_token
)

# 用onelogin/ruby-saml库验证SAML响应的合法性
settings = OneLogin::RubySaml::Settings.new(
  assertion_consumer_service_url: '你的ACS回调URL',
  issuer: '你的应用Entity ID',
  idp_sso_target_url: 'OneLogin的SSO URL',
  idp_cert: 'OneLogin的IDP证书' # 从OneLogin应用配置里下载
)

response = OneLogin::RubySaml::Response.new(saml_response, settings: settings)
if response.is_valid?
  # 获取用户信息，创建/更新应用内用户
  user = User.find_or_create_by(email: response.nameid) do |u|
    u.name = response.attributes['name']
    u.onelogin_user_id = response.attributes['user_id']
  end

  # 建立应用会话，完成SSO
  sign_in(user)
else
  # 处理验证失败（比如凭证错误、签名无效）
  flash[:error] = '登录验证失败，请重试'
  redirect_to login_path
end

要实现全局登出，有两种方式，选适合你的：

方式1：调用OneLogin全局登出API（最简单） #

只要你存储了用户的OneLogin ID，直接调用API销毁用户的全局OneLogin会话，同时销毁当前应用的会话：

client = OneLogin::RubySdk::Client.new(
  client_id: '你的OneLogin Client ID',
  client_secret: '你的OneLogin Client Secret'
)

# 销毁用户的全局OneLogin会话
client.logout_user(user_id: current_user.onelogin_user_id)

# 销毁当前应用的会话
reset_session
redirect_to root_path

这个方法会让用户所有关联OneLogin的应用都登出，完美实现SLO。

方式2：通过SAML协议触发Logout（标准流程） #

如果你想严格遵循SAML协议，可以构造LogoutRequest发送到OneLogin IDP，然后验证LogoutResponse：

# 构造SAML LogoutRequest
settings = OneLogin::RubySaml::Settings.new(...) # 同之前的配置
logout_request = OneLogin::RubySaml::Logoutrequest.new
saml_logout_request = logout_request.create(
  settings,
  nameid: current_user.email,
  nameid_format: 'urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress'
)

# 发送LogoutRequest到OneLogin的IDP Logout URL（可以用HTTP POST请求）
# 接收并验证LogoutResponse
logout_response = OneLogin::RubySaml::Logoutresponse.new(params[:SAMLResponse], settings)
if logout_response.is_valid?
  reset_session
  redirect_to root_path
end

• 确保在OneLogin应用配置里启用Token Initiated SSO，并正确设置你的应用Entity ID和ACS URL。
• 妥善保管OneLogin的Client ID和Client Secret，不要暴露在前端代码里。
• 验证SAML响应时一定要检查签名，防止伪造请求。

内容的提问来源于stack exchange，提问作者farzam azhar