公网网站SSO集成：如何服务端检测用户是否为本地网络用户

这是个很典型的混合认证需求——既要让特定内网用户无缝走SSO，又要给公网用户留表单登录入口。我来分享几个靠谱的网络判断技术，以及常规的部署操作思路：

一、判断用户所属网络的可行技术 #

1. 基于客户端真实IP匹配 #

这是最直接的方案：

• 收集特定内网对外的公网IP段/列表（比如IT部门提供的CIDR格式，如203.0.113.0/24）。
• 服务端获取用户的真实源IP：如果网站用了反向代理/CDN，要确保代理层传递X-Forwarded-For或X-Real-IP头部，服务端优先解析这些头部拿到真实IP（比如Nginx配置real_ip_header X-Forwarded-For;，Java后端用request.getHeader("X-Forwarded-For")）。
• 用CIDR匹配工具（比如Python的ipaddress模块、Java的InetAddress相关工具）判断用户IP是否在指定网段内，是则走SSO，否则走表单登录。
• 注意：要防范IP伪造风险，只信任可信代理的IP头部，比如在Nginx里配置set_real_ip_from 192.168.1.0/24;（代理服务器的IP段），避免恶意用户伪造X-Forwarded-For。

2. 内网专属资源检测（前端触发） #

适合内网公网IP动态变化的场景：

• 在特定内网部署一个仅内网可访问的轻量资源：比如一个返回200状态码的API接口，或者1x1像素的静态gif图。
• 用户访问网站时，前端先发起对这个资源的请求（用fetch或<img>标签，图片请求不受跨域限制）。
• 如果请求成功（返回200），判定为内网用户，前端跳转触发SSO流程；如果请求超时/失败，引导到表单登录页面。
• 注意：资源要足够简单，不要包含敏感信息；如果用API，要配置CORS允许主站域名访问。

3. 基于DNS解析差异 #

依赖内网DNS配置的方案：

• 注册一个专属域名（比如intranet-check.yourdomain.com），在内网DNS服务器上将其解析到一个内网可达的地址（比如127.0.0.1），公网DNS则解析到无效IP（比如0.0.0.0）。
• 前端尝试请求该域名的资源，能成功访问则判定为内网用户，否则走公网流程。
• 优点：无需维护IP列表；缺点：需要内网IT配合配置DNS，且存在DNS缓存的小概率问题。

二、部署支持本地SSO的公网网站常规操作 #

1. 先明确网络边界规则：

   • 如果内网有固定公网IP段，优先用IP匹配方案，配置简单且性能好；
   • 如果内网IP动态变化，选择资源检测或DNS解析方案。

2. 服务端路由设计：

   • 用户访问首页/登录页时，先执行网络判断逻辑；
   • 内网用户：直接重定向到SAML IdP的登录URL（比如https://your-idp.com/saml/login?SAMLRequest=xxx），完成SSO自动登录；
   • 公网用户：渲染表单登录页面，走账号密码认证流程。

3. 代理层配置：

   • 确保反向代理/CDN正确传递用户真实IP，服务端能准确解析；
   • 可以在代理层先做IP过滤，比如Nginx直接把内网IP段的请求转发到SSO路由，公网IP转发到表单登录路由，减轻服务端压力。

4. SAML安全配置：

   • 在SAML IdP侧也可配置IP白名单，只允许内网IP段的用户发起SSO请求，双重保障；
   • 确保SAML的Entity ID、ACS URL等参数配置正确，避免跨域或认证失败问题。

5. 测试验证：

   • 分别用内网和公网环境测试，确认认证流程正确切换；
   • 测试IP伪造、DNS缓存等极端场景，确保安全逻辑生效。

内容的提问来源于stack exchange，提问作者Zeep