登录与 SSO

了解 Syfo 支持的登录方式，以及组织管理员如何为成员开启飞书、企业微信或 CAS 单点登录。

Syfo 的账号是个人的，一个账号可以加入多个组织。登录方式分两类：

账号登录方式：邮箱和密码、Google。在任何组织都能用。
组织单点登录（SSO）：飞书、企业微信、CAS。由某个组织单独配置，成员从这个组织的专属登录页进入。

登录方式一览

方式	在哪里登录	谁来开启
邮箱和密码	登录页「登录 Syfo」	始终可用
Google	登录页「使用 Google 继续」	由 Syfo 部署决定是否提供；看不到按钮就表示当前不可用
飞书	组织登录页「使用飞书继续」	组织所有者或管理员配置
企业微信	组织登录页「使用企业微信继续」	组织所有者或管理员配置
CAS 单点登录	组织登录页「使用 CAS 继续」	组织所有者或管理员配置；CAS 地址由部署方提供

用邮箱和密码登录

打开登录页「登录 Syfo」，填写邮箱和密码，点「登录」。
忘记密码时点「忘记密码？」，按邮件里的链接重设。重设后，其他设备上的登录会失效。
新用户点「新用户？创建账号」注册。注册后需要先验证邮箱才能登录。密码长度 8 到 128 位，至少包含一个字母和一个数字。

用 Google 登录

在登录页点「使用 Google 继续」。

如果这个 Google 邮箱已经注册过 Syfo 账号，Syfo 不会自动把两者合并。请先用原来的方式登录，再到「设置 → 账号 → 登录方式」点「关联 Google」。Google 邮箱必须和 Syfo 账号邮箱一致。

从组织登录页进入（SSO）

组织开启 SSO 后，成员要从这个组织的登录页进入，而不是通用登录页：

在登录页点「使用组织登录方式」。
在「组织登录链接或组织码」里粘贴组织登录链接，或者只填组织码（链接末尾 /s/ 后面那一段），点「前往组织登录」。
进入「登录此组织」页面，点「使用飞书继续」「使用企业微信继续」或「使用 CAS 继续」。

不知道组织码时，点「不知道组织码？用邮箱找回」，填写账号邮箱，Syfo 会把你能访问的组织的登录入口发到这个邮箱。

第一次用 SSO 登录时，如果这个邮箱已经有 Syfo 账号，系统会让你用邮箱验证码、密码或当前登录状态确认一次，确认后自动关联。之后可以在「设置 → 账号 → 第三方登录」查看已关联的账号。

为组织开启 SSO（管理员）

开通条件

组织 SSO 需要先由 Syfo 为你的组织开通使用权限。开通前，「设置」里不会出现「登录与身份」这一项。如需使用，请联系我们开通。

开通后，组织的所有者或管理员可以在「设置 → 组织 → 登录与身份」里配置。普通成员和访客看不到这一项。

配置步骤

每种方式都按页面上的分步说明操作，大致流程相同：

在「登录与身份」里选择飞书、企业微信或「CAS 单点登录」，点「配置」。
按页面提示在对方平台完成设置，并把本页显示的回调地址（企业微信是「可信域名」）填过去。
回到 Syfo，填写凭据，点「保存并继续」：
- 飞书：App ID 和 App Secret
- 企业微信：企业 ID、AgentId 和 Secret
- CAS：Client ID 和 Client Secret。「CAS 地址」由部署方配置，组织管理员不能修改；如果部署没有配置 CAS 地址，就无法使用 CAS 登录。
点「测试连接」检查凭据。
点「验证登录」，输入你当前的账号密码后，亲自完成一次登录。

验证通过后，状态会变成「已验证并启用」，组织登录页才会出现对应的登录按钮。

规则和限制

一个组织同一时间只能启用一种企业登录方式。想换成另一种，先「停用」当前这种。
「邮箱与密码」始终开启，成员随时可以用邮箱和密码登录组织。
「停用」后，配置和成员的绑定关系都保留，只是成员暂时不能再用这种方式登录。
停用或删除前，如果有成员只依赖这种方式登录，页面会提示「N 位成员需要其他登录方式」，可以点「通知成员设置密码」。至少要有一位 Owner 保留其他可用的登录方式。

新成员能不能直接通过 SSO 加入

企业微信和 CAS 有一个开关，决定还没加入组织的人能不能通过 SSO 直接加入：

开关	打开时	关闭时
账号随企业微信开通	应用可见范围内的人首次登录即以「成员」身份加入本组织	未加入本组织的人需要管理员邀请
账号随 CAS 开通	CAS 账号首次登录即以「成员」身份加入本组织	未加入本组织的人需要管理员邀请

已经被移出组织的人，即使开关打开也仍需重新邀请。

CAS 还有「免验证邮箱域名」：CAS 返回这些域名的邮箱、而且还没有对应账号时，首次登录直接建号，不再发验证码。只精确匹配，不含子域名，最多 20 个。「所有邮箱域名免验证」会对任何域名生效，只在员工不能自己修改 CAS 邮箱时打开。

限制谁能通过邀请链接加入

这项设置和 SSO 无关，任何组织都可以用。所有者或管理员在「设置 → 组织 → 基本信息」的「邀请链接邮箱核验」里：

打开「核验邀请链接邮箱域」。
在「允许的邮箱域」里添加域名，例如 @example.com。子域需要单独添加。
点「保存邀请策略」。

开启后，只有已验证、并且属于允许域的邮箱才能通过邀请链接加入。发给指定邮箱的邀请不受影响；删除某个域也不会移除已经加入的成员。

管理自己的登录

在「设置 → 账号」里可以：

在「登录方式」里查看可用的登录方式，关联或「解绑」Google。不能移除最后一种登录方式，没有密码时需要先设置密码。
「修改密码」，可以勾选同时退出其它会话。
在「会话」里查看登录过的设备，「退出这个会话」或「在所有设备退出」。