本文详解如何利用 adfs（active directory federation services）为 php 应用实现基于 active directory 的单点登录，强调其协议支持、认证流程限制及安全集成要点。
本文详解如何利用 adfs（active directory federation services）为 php 应用实现基于 active directory 的单点登录，强调其协议支持、认证流程限制及安全集成要点。
在企业级 PHP 应用中集成 Windows 域身份认证，ADFS 是最常用且受官方支持的联邦身份网关。它本身不直接提供用户名/密码校验接口，而是作为 SAML 2.0、WS-Federation 或 OpenID Connect（OIDC）的身份提供者（IdP），将认证委托给后端 Active Directory。因此，您无法在 PHP 页面中自行提交邮箱与密码到 ADFS 进行“后台校验”——ADFS 不开放此类自定义表单登录（Custom Login Form）的 API。
✅ 正确集成路径如下：
- 选择标准协议：推荐使用 SAML 2.0（兼容性最广）或 OpenID Connect（现代 Web 应用更友好）；
-
PHP 客户端库选型：
- SAML：使用 php-saml（OneLogin 官方维护，稳定成熟）；
- OIDC：使用 jumbojett/openid-connect-php；
-
配置 ADFS 端：
- 在 ADFS 管理控制台注册您的 PHP 应用为信赖方（Relying Party Trust）；
- 配置标识符（Entity ID）、断言消费者服务 URL（ACS URL，如
https://your-app.com/saml/acs）； - 启用并发布所需声明（Claims），例如
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress（邮箱）、name、upn等；
-
PHP 端发起重定向认证：
用户点击登录时，PHP 不渲染表单，而是生成 SAML AuthnRequest 并重定向至 ADFS 登录页（如https://adfs.yourdomain.com/adfs/ls/）。该页面由 ADFS 托管，强制使用其 UI —— 这是微软安全策略要求，不可绕过或定制样式。
示例（SAML 流程关键代码，基于 php-saml）：
// init_sso.php
require_once 'libs/Saml2/Settings.php';
$settings = new OneLogin\Saml2\Settings([
'sp' => [
'entityId' => 'https://your-app.com/metadata',
'assertionConsumerService' => [
'url' => 'https://your-app.com/saml/acs',
],
'singleLogoutService' => [
'url' => 'https://your-app.com/saml/sls',
],
],
'idp' => [
'entityId' => 'http://adfs.yourdomain.com/adfs/services/trust',
'singleSignOnService' => [
'url' => 'https://adfs.yourdomain.com/adfs/ls/',
],
'x509cert' => '-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----',
],
]);
$auth = new OneLogin\Saml2\Auth($settings);
$auth->login(); // 重定向至 ADFS 登录页✅ 认证成功后，ADFS 将 POST 回 acs 地址，PHP 解析 SAML Response 即可提取用户属性：
立即学习“PHP免费学习笔记（深入）”；
// saml/acs.php
$auth = new OneLogin\Saml2\Auth($settings);
$auth->processResponse();
if ($auth->isAuthenticated()) {
$attributes = $auth->getAttributes();
$email = $attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress'][0] ?? null;
$_SESSION['user_email'] = $email;
header('Location: /dashboard');
}⚠️ 重要注意事项：
- ❌ 禁止尝试模拟登录或反向工程 ADFS 表单：违反安全策略，且 ADFS 启用防 CSRF、设备健康检查（如 Windows Hello）、多因素认证（MFA）等机制，自定义表单无法满足；
- ✅ 所有通信必须启用 HTTPS：SAML/OIDC 元数据、断言、令牌均含敏感信息；
- ✅ 严格校验证书与签名：确保 SAML Response 由可信 ADFS 签发，防止中间人篡改；
- ✅ 声明映射需在 ADFS 中显式配置：例如将 AD 的
mail属性映射为emailaddress声明，否则 PHP 端无法获取； - ? 若需更高安全性，建议启用 ADFS 的条件访问策略（如仅允许公司网络/IP 范围访问）。
总结：ADFS + PHP 的 SSO 是成熟可行的企业方案，但其核心设计原则是「信任边界上移」——认证入口和凭证处理交由 ADFS 统一管控。PHP 应用只需专注声明解析与会话管理，无需也不应接管密码校验逻辑。遵循标准协议、正确配置声明映射、严守 HTTPS 与签名验证，即可安全、稳定地实现跨 AWS 服务器的统一身份认证与用户信息同步。
