Git本身不支持SSO，需通过GitLab等平台中转实现；GitLab以OAuth2客户端身份对接SSO，关键在配置omniauth_provider及user_info_url返回合规字段（如email、username），否则导致用户创建失败或权限映射异常。
Git 本身不支持单点登录（SSO），它只提供基础的 SSH 密钥或 HTTP Basic 认证；真正要对接 SSO，必须通过 GitLab、Gitea、Bitbucket 等托管平台来中转——Git 客户端始终走的是 git over HTTP(S) 或 git over SSH 协议，而 SSO 是在平台层完成的认证拦截与用户映射。
GitLab 接入 OAuth2 SSO 的核心配置项
GitLab 不是“接入 Git”，而是作为 OAuth2 客户端，向你的 SSO 服务（如 Smart-SSO、Keycloak、Casdoor）发起授权请求。关键不是改 Git，而是配 GitLab 的 gitlab.rb 或环境变量：
-
gitlab_rails['omniauth_enabled'] = true—— 必须开启 OmniAuth -
gitlab_rails['omniauth_providers']中定义oauth2_generic，并填全四个 URL：client_authorize_url、client_token_url、client_user_info_url、client_site -
gitlab_rails['omniauth_allow_single_sign_on'] = ['oauth2_generic']—— 允许该 provider 自动创建账号 -
gitlab_rails['omniauth_block_auto_created_users'] = false—— 否则新用户会被拦在登录页
注意：client_user_info_url 返回的 JSON 必须含 email 字段（GitLab 强依赖它做用户匹配），且建议返回 name 和 username（否则默认用邮箱前缀，可能含 @ 符号导致创建失败）。
权限映射失败的常见原因
GitLab 不会自动同步 SSO 里的角色或部门信息，权限映射需靠 user_info_url 响应体里显式携带字段，并配合 GitLab 的 omniauth_sync_email_from_provider 和自定义 sync_attributes 配置：
仅从仓库的暂存文件生成 Git 提交消息。当用户要求 Codex 根据暂存更改、缓存差异、Git 索引或已通过 `git add` 添加的文件来编写、起草、创建或建议提交消息时使用；切勿代表用户执行提交操作。
- Smart-SSO 默认不返回
groups或roles字段，需在它的UserDetail接口扩展响应，比如加"gitlab_access_level": "maintainer" - GitLab 只认固定字段名：
extern_uid（用于绑定）、email（唯一标识）、name、username；其他字段需用gitlab_rails['omniauth_sync_attributes']显式声明映射规则 - 若 SSO 返回的
email和 GitLab 已有账号不一致，会新建用户而非合并——这是最常被忽略的“映射失败”表象
HTTP(S) Git 操作仍要输密码？检查 SSO 退出策略
即使 Web 登录成功，git clone https://gitlab.example.com/group/project.git 还弹密码框，大概率是没启用 GitLab 的 personal_access_token 替代机制，或没配好 SSO 的 token 透传：
- GitLab 要求 SSO provider 在
user_info_url响应中返回access_token字段（非标准 OAuth2，是 GitLab 特有扩展），否则无法自动注入到 Git HTTP 请求头 - 确认 GitLab 配置了
gitlab_rails['omniauth_auto_link_ldap_user'] = false（避免和 LDAP 冲突），且gitlab_rails['gitlab_shell_ssh_port'] = 22未被误设为 HTTPS 端口 - 客户端首次克隆时，浏览器需已登录 GitLab（即 SSO session 存在），GitLab 才会返回带
Authorization: Bearer xxx的重定向响应
真正难调的不是配置项，而是 SSO 服务返回的 user_info 结构是否恰好命中 GitLab 的字段解析逻辑——少一个 email 就创建失败，多一个非法字符（如空格在 username）就静默跳过映射。别信文档写的“自动同步”，先抓包看 /users/auth/oauth2_generic/callback 之后 GitLab 实际收到了什么。
