Azure IdP如何识别未配置的Laravel SAML2 SLO端点发送登出通知？

关于IdP如何知晓SLO端点的问题 #

SAML协议中，IdP是通过**SP的元数据（Metadata）**获取单点登出（SLO）端点地址的，不需要手动在IdP后台单独配置。laravel-saml2包会自动生成包含SLO服务地址的元数据，你可以访问应用的元数据端点 https://yourdomain.com/saml2/{uuid}/metadata 查看——里面的<SingleLogoutService>节点就对应/saml2/{uuid}/slo地址。

如果Azure IdP没有正确获取到这个地址，大概率是你在配置Azure企业应用时，没有通过元数据文件/URL导入SP配置，而是手动填写了登录相关的URL，导致IdP没有读取到元数据里的SLO信息。

登出问题排查步骤 #

1. 验证SP元数据的正确性 #

访问https://yourdomain.com/saml2/{uuid}/metadata，确认存在如下格式的节点：

<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://yourdomain.com/saml2/{uuid}/slo"/>

如果该节点缺失，检查laravel-saml2的租户配置，确保登出相关功能已启用。

2. 检查Azure IdP的配置 #

• 登录Azure门户，进入对应的企业应用，查看单一登录配置：
  • 如果是通过元数据导入的，重新导入一次最新的SP元数据，确保Azure同步了SLO地址；
  • 如果是手动配置的，需要在单点登出URL字段中手动填入https://yourdomain.com/saml2/{uuid}/slo，并选择对应的绑定方式（一般是HTTP-Redirect）。

3. 确认Laravel端路由与中间件 #

• 执行php artisan route:list，确认/saml2/{uuid}/slo路由存在，并且对应的控制器方法正确；
• 检查该路由是否被CSRF中间件拦截：laravel-saml2的SAML端点默认应该被排除在CSRF验证外，查看app/Http/Middleware/VerifyCsrfToken.php的$except数组，确认包含/saml2/*路径。

4. 排查请求流向 #

• 查看Azure IdP的日志：在Azure企业应用的日志选项中，搜索登出相关的事件，确认IdP是否尝试发送SLO请求，以及是否有报错（比如地址不可达、签名验证失败）；
• 查看Laravel的系统日志：检查storage/logs/laravel.log，看是否有SLO请求的记录，或者是否有中间件、权限拦截的报错。

5. 测试两种登出触发方式 #

• SP发起登出：访问https://yourdomain.com/saml/{uuid}/logout，观察是否跳转到Azure IdP完成全局登出，之后是否回调到/saml2/{uuid}/slo；
• IdP发起登出：直接在Azure门户的用户会话中触发登出，查看是否有请求发送到你的SP的SLO端点。

内容的提问来源于stack exchange，提问作者pileup