如何在服务提供商间传递断言，实现免重复登录的单点登录？

这个需求其实是SSO场景里很常见的无缝跨应用跳转需求，核心是利用IDP已经存在的用户会话，让SP2自动完成认证流程，不用用户再次输入凭证。下面分两种主流SSO协议场景给你具体实现方案：

一、SAML 2.0协议场景 #

1. 构造SP2的SSO发起链接
   每个SAML SP都会提供一个SSO入口URL（通常是SP的登录发起端点），你可以直接在SP1中放置指向该URL的链接，同时通过RelayState参数指定SP2的目标着陆页。
   示例链接格式：

   https://sp2.example.com/saml/sso?RelayState=https://sp2.example.com/your-landing-page
   

   用户点击这个链接后，会被重定向到IDP。由于用户已经通过IDP登录过，IDP会直接生成SAML断言并发送给SP2的断言消费服务（ACS），SP2验证断言后创建本地用户会话，最后通过RelayState参数跳转到指定的着陆页，全程无感知。

2. 关键配置验证

   • 确保IDP已将SP2配置为信任的服务提供商
   • SP2的ACS端点能正确接收并验证IDP发送的SAML断言
   • IDP的用户会话未过期（如果会话过期，仍会触发登录页面）

二、OIDC（OpenID Connect）协议场景 #

1. 构造IDP的授权请求链接
   利用OIDC的prompt=none参数，告诉IDP直接使用现有用户会话完成认证，不要显示登录界面。链接需要包含SP2的客户端ID、重定向URI（指向SP2的着陆页或回调后跳转着陆页）、响应类型等必要参数。
   示例链接格式：

   https://idp.example.com/oauth2/authorize?client_id=sp2-client-id&redirect_uri=https://sp2.example.com/your-landing-page&response_type=code&scope=openid+profile&prompt=none
   

   用户点击该链接后，IDP检查到有效会话，会直接返回授权码给SP2的重定向URI，SP2用授权码换取ID令牌和访问令牌，验证后创建本地会话，最终跳转到指定着陆页。

2. 关键注意事项

   • prompt=none参数是核心，确保IDP不触发登录交互
   • 重定向URI必须是SP2在IDP中预先注册的合法地址
   • 确保IDP的用户会话处于有效期内，否则IDP会返回login_required错误，此时需要处理跳转回登录页的逻辑

三、通用注意事项 #

• 会话有效期：无论哪种协议，都依赖IDP的用户会话有效性，如果会话已过期，仍会触发登录流程。可以在IDP中配置合适的会话超时时间，或在SP1中检测IDP会话状态后再生成跳转链接。
• 跨域问题：如果SP1和SP2域名不同，无需额外处理跨域，因为跳转是通过浏览器重定向到IDP再到SP2，属于正常的SSO流程。
• 安全验证：确保跳转链接中的参数（如client_id、RelayState）没有被篡改，必要时可以对链接进行签名（部分SSO协议支持）。

内容的提问来源于stack exchange，提问作者sudhansu rana