概述
联合认证最常见的故障并非协议本身，而是配置错误与异常路径未测。用真实 IdP 沙箱覆盖登录、登出、过期、角色映射与证书或声明错误的完整矩阵，可在启用前把大多数问题挡在用户之外。
关键步骤
- 用多个角色测试正常登录路径。
- 测试登出、会话过期与令牌刷新。
- 测试错误路径：证书过期、受众不符、声明缺失。
- 如使用 SCIM，测试开通与离职同步。
验证
- 矩阵每一行均对真实 IdP 执行。
- 失败产生明确错误而非损坏会话。
- 角色映射符合预期。
- 访问变更可传播。
决策点
协议与证书行为应在真实沙箱验证，模拟会漏掉 IdP 特有的声明格式；联合认证应做完整失败矩阵测试。
适用范围
本条目围绕「SSO 集成测试工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
curl -s -X POST https://idp.example.com/token -d "grant_type=authorization_code&code=$CODE&client_id=$ID" | jq .
# assert aud, iss, and role claims