SimpleSAMLphp 配置 SLO 与 Okta IDP 的完整实践指南-php教程-PHP中文网

SimpleSAMLphp 配置 SLO 与 Okta IDP 的完整实践指南

本文详解如何在 simplesamlphp 中正确配置单点登出（slo），使其向 okta idp 发送符合 saml 2.0 规范的签名登出请求，涵盖 okta 端启用 slo、元数据同步、sp 端签名配置及关键注意事项。

本文详解如何在 simplesamlphp 中正确配置单点登出（slo），使其向 okta idp 发送符合 saml 2.0 规范的签名登出请求，涵盖 okta 端启用 slo、元数据同步、sp 端签名配置及关键注意事项。

在使用 SimpleSAMLphp 作为 Service Provider（SP）对接 Okta 作为 Identity Provider（IDP）时，常见误区是调用 $as->logout() 后仅清除了本地会话，却未触发向 Okta 的 SLO 请求——根本原因在于：SLO 是双向协同流程，需 Okta 侧显式启用 + 元数据同步 + SP 主动签名发起，缺一不可。

✅ 步骤一：在 Okta 控制台启用 SLO

登录 Okta Admin Console → 进入对应 SAML 应用（如 okta_test_1）→ Sign On 标签页 → 展开 SAML Settings → 勾选 Enable Single Logout。
⚠️ 关键要求：必须上传你的 SP 公钥证书（即 sp.crt）——Okta 用它验证登出请求的签名。若跳过此步，Okta 元数据中将不包含 SingleLogoutService 端点，SimpleSAMLphp 无法发现登出地址。

✅ 步骤二：同步更新 Okta 元数据至 SimpleSAMLphp

启用 SLO 后，Okta 会动态更新其 SAML 元数据（通常位于 https://<your-domain>.okta.com/app/<app-id>/sso/saml/metadata</app-id></your-domain>）。你需要：

下载最新元数据 XML；
将其中 <singlelogoutservice></singlelogoutservice> 节点内容（含 Binding 和 Location）准确映射到你的 metadata/saml20-idp-remote.php 文件中；
或更推荐：使用 SimpleSAMLphp 的元数据抓取功能（需配置 metarefresh 模块），实现自动同步。

你提供的元数据显示已存在 SingleLogoutService，但务必确认该 URL（如 https://okta/app/okta_test_1/randomString/slo/saml）与 Okta 实际发布的元数据完全一致，且协议为 HTTPS（Okta 强制要求）。

✅ 步骤三：强制 SP 签名登出请求

SimpleSAMLphp 默认不签名登出请求。必须在 authsources.php 的 SP 配置中显式启用签名：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

'default-sp' => [
    'saml:SP',
    'entityID' => null,
    'idp' => 'http://www.okta.com/randomString', // 注意：此处应与 metadata 中 entityID 完全一致（含大小写）
    'privatekey' => 'sp.pem',
    'certificate' => 'sp.crt',
    'sign.logout' => true, // ← 核心开关：启用登出请求签名
    'sign.assertion' => false, // 可选：登出无需断言签名
],

? 注意：'sign.logout' => true 是简写，等价于 'sign' => ['logout' => true]，二者任选其一即可，无需重复配置。

✅ 正确发起 SLO 请求的代码

原始代码仅执行本地登出，需改用带目标 IDP 的 logout() 调用，并确保会话已建立：

require_once('/var/www/service_provider/simplesamlphp/lib/_autoload.php');
$as = new SimpleSAML_Auth_Simple('default-sp');

// 必须先验证用户已登录，否则 logout() 不触发远程 SLO
if ($as->isAuthenticated()) {
    // 第二个参数指定目标 IDP EntityID（必须与 metadata 中 entityID 严格匹配）
    $as->logout([
        'ReturnTo' => 'https://your-sp.com/logout-callback.php',
        'RelayState' => 'optional-state',
    ], 'http://www.okta.com/randomString'); // ← 显式传入 IDP entityID
}

⚠️ 常见问题排查清单

❌ 400 Bad Request 或 Okta 日志显示 “Invalid signature”：检查 SP 私钥（sp.pem）是否与 Okta 上传的公钥（sp.crt）配对；确认 sign.logout 已启用。
❌ 无任何重定向发生：验证 isAuthenticated() 返回 true；检查 authsources.php 中 idp 值是否与元数据 entityID 完全一致（空格、协议、大小写均敏感）。
❌ Okta 登出后 SP 会话未清除：确保 logout() 调用后无后续 session_start() 或手动恢复会话逻辑。
? 补充建议：开启 SimpleSAMLphp 调试日志（config/config.php 中设 'debug' => true），查看 saml20-idp-remote 元数据是否被正确加载，以及 SLO 请求的 XML 内容。