SSO 配置管理

站点接入说明

• 业务站点发起登录时，请跳转到：/auth/login_ssl?redirect_url=your_redirect_url&timestamp=unix_ts&signature=hex_hmac_sha256；如需切换账号，可追加 force_login=1 跳过 SSO 本地缓存。
• 业务站点建议先调用：/auth/check_is_login?redirect_url=your_redirect_url&timestamp=unix_ts&signature=hex_hmac_sha256
• check_is_login 会校验时间戳和签名；若已登录，直接返回用户信息给业务站点复用。
• 若 data.user = null，再跳转到 /auth/login_ssl 进行飞书登录。
• 签名规则：hex(hmac_sha256(SSO_SIGNATURE_SECRET, timestamp + "\n" + redirect_url))
• 固定回调地址是：domain_url + /sso_callback。
• 业务站点退出时，请让浏览器直接访问 /auth/logout?redirect_url=... 或提交 POST /auth/logout；接口会先清除 SSO 中心保存的用户身份，再跳转回业务站点。
• 跨站 POST/fetch 退出需要浏览器携带 SSO cookie；HTTPS 下可配置 SESSION_COOKIE_SAMESITE=None 和 SESSION_COOKIE_SECURE=true。
• force_login=1 和 /auth/logout 只清除本项目的 SSO 身份；如果浏览器仍登录原飞书账号，重新授权时飞书仍可能返回原用户，需要先在飞书侧切换或退出账号。
• 白名单只维护 domain_url，不需要 path。