本文记录了你在使用 SSO 登录功能时可能遇到的问题，并提供解决方案。 ## 登录页提示 “请使用企业 SSO 登录” **现象与原因：** 如果在 TRAE 登录页面无法输入邮箱和密码，并看到 “请使用企业 SSO 登录” 的提示，这说明你所在的企业已启用“强制 SSO 登录”策略。该策略要求所有成员必须通过企业配置的身份认证服务（如 Azure AD、Okta 等）进行登录。 **解决方案：** 直接使用 SSO 方式登录 TRAE IDE。 ## 无法从 SSO 登录页跳转至身份认证服务 **现象：** 在 SSO 登录页面输入邮箱并点击 **下一步** 后，无法跳转至你企业的身份认证服务页面。 **排查步骤：** 1. 使用浏览器的开发者工具（DevTools）查看 `/account/oauth_login` 接口的返回值。 2. 将该返回值提供给企业的 IT 工程师，以协助检查 SSO 配置。如果问题依旧存在，在 TRAE 企业版控制台左下角点击头像，选择 **反馈联系** 来获取帮助。届时，需一并提供 `/account/oauth_login` 的返回值和日志 ID。 ## SSO 登录后，提示认证失败 **现象：** 当你从企业身份认证服务页面完成认证并跳转回 TRAE 后，页面提示认证失败。 **原因与解决方案：** 认证失败可能由多种原因导致。下表详细列出了具体的错误信息、原因及相应的排查和解决方案。 |**错误信息** |**原因** |**解决方案** | |---|---|---| |{英文错误}: {英文描述}（如 access_denied: ...） |这是由你企业的身份认证服务提供商（IdP）直接返回的错误，TRAE 仅将其透传显示。 |联系你的企业 IT 工程师并提供完整的错误信息，让其检查企业的身份认证服务配置。 | |企业 SSO 登录邮箱与 TRAE 账号不匹配 |身份提供商返回的邮箱与你在 TRAE 注册或被邀请时使用的邮箱不一致。

常见原因：主邮箱与别名，例如 `john@example.com` 与 `john.doe@example.com`。 |联系企业的 IT 工程师，让其检查身份认证服务中为该用户配置的邮箱地址，确保此邮箱与该用户在 TRAE 中注册的邮箱一致。

若不一致，可选择以下方案之一：

* 由 IT 工程师修改身份认证服务中的邮箱，使用该用户在 TRAE 中注册的邮箱。

* 由企业管理员在 TRAE 企业版控制台中删除该用户的原邮箱，然后使用正确的邮箱重新邀请该用户加入企业。 | |企业订阅已到期 |企业订阅的套餐已到期，导致所有成员的账号被停用。 |企业管理员需先续订企业套餐。续费成功后，在 TRAE 企业版控制台重新激活成员账号。 | |账号不存在 |用于 SSO 登录的邮箱尚未被邀请加入你的企业，或该邮箱未注册 TRAE 账号。 |* **若该邮箱已注册 TRAE**：联系企业管理员，让其邀请该邮箱加入企业。

* **若该邮箱未注册 TRAE**：先使用该邮箱注册一个 TRAE 账号，然后联系企业管理员将其邀请加入企业。 | |参数异常，请重新登录 |从企业的身份认证服务跳转回 TRAE 时，回调地址（Redirect URI）中缺少 `code` 或 `state` 参数。 |重试。若持续出现该问题，可能是 SSO 登录配置不正确。检查身份认证服务中配置的 Redirect URI 是否与 TRAE SSO 登录配置弹窗中提供回调地址一致。 | |认证失败，请重试 |可能的原因如下：

* SSO 登录配置中，相关的 URL 填写错误。

* SSO 登录配置中，`Scope` 参数的取值错误（例如，对于兼容 OIDC 的认证服务，该参数应设置为 `openid,profile,email`）。

* 企业的身份认证服务返回非法数据。

* TRAE 的账号服务无法访问企业身份认证服务的 `UserInfo` 接口，导致 TRAE 无法获取用户信息。

* 其他服务端错误 |* 检查 SSO 登录配置中填写的 URL 是否正确。

* 确保 `Scope` 参数的值包含了 `openid`, `profile`, `email`，或功能相同的字段（以你所使用的身份认证服务提供的字段为准）。

* 检查并确保企业身份认证服务的相关接口（如 `UserInfo` 接口）可以通过公网访问，以便 TRAE 服务器能够获取用户信息。

* 排查身份认证服务的实现是否存在问题（例如，`state` 参数中的 `+` 被错误地转换为空格）。 | 如果尝试上述所有方法后问题依旧存在，你可以在 TRAE 企业版控制台左下角点击头像，在菜单中选择 **反馈联系** 来获取帮助。届时，需一并提供页面上显示的完整错误信息和日志 ID。

TRAE CN