# 登录与 SSO

> 了解 Syfo 支持的登录方式，以及组织管理员如何为成员开启飞书、企业微信或 CAS 单点登录。

Source: https://docs.syfo.ai/zh/docs/sso

Syfo 的账号是个人的，一个账号可以加入多个组织。登录方式分两类：

- **账号登录方式**：邮箱和密码、Google。在任何组织都能用。
- **组织单点登录（SSO）**：飞书、企业微信、CAS。由某个组织单独配置，成员从这个组织的专属登录页进入。

## 登录方式一览

| 方式 | 在哪里登录 | 谁来开启 |
|---|---|---|
| 邮箱和密码 | 登录页「登录 Syfo」 | 始终可用 |
| Google | 登录页「使用 Google 继续」 | 由 Syfo 部署决定是否提供；看不到按钮就表示当前不可用 |
| 飞书 | 组织登录页「使用飞书继续」 | 组织所有者或管理员配置 |
| 企业微信 | 组织登录页「使用企业微信继续」 | 组织所有者或管理员配置 |
| CAS 单点登录 | 组织登录页「使用 CAS 继续」 | 组织所有者或管理员配置；CAS 地址由部署方提供 |

## 用邮箱和密码登录

1. 打开登录页「登录 Syfo」，填写邮箱和密码，点「登录」。
2. 忘记密码时点「忘记密码？」，按邮件里的链接重设。重设后，其他设备上的登录会失效。
3. 新用户点「新用户？创建账号」注册。注册后需要先验证邮箱才能登录。密码长度 8 到 128 位，至少包含一个字母和一个数字。

:::note
如果注册页显示「这里不开放注册」，说明当前部署关闭了自助注册。请从所在组织的单点登录进入，或联系组织管理员邀请你。
:::

## 用 Google 登录

在登录页点「使用 Google 继续」。

如果这个 Google 邮箱已经注册过 Syfo 账号，Syfo 不会自动把两者合并。请先用原来的方式登录，再到「设置 → 账号 → 登录方式」点「关联 Google」。Google 邮箱必须和 Syfo 账号邮箱一致。

## 从组织登录页进入（SSO）

组织开启 SSO 后，成员要从**这个组织的登录页**进入，而不是通用登录页：

1. 在登录页点「使用组织登录方式」。
2. 在「组织登录链接或组织码」里粘贴组织登录链接，或者只填组织码（链接末尾 `/s/` 后面那一段），点「前往组织登录」。
3. 进入「登录此组织」页面，点「使用飞书继续」「使用企业微信继续」或「使用 CAS 继续」。

不知道组织码时，点「不知道组织码？用邮箱找回」，填写账号邮箱，Syfo 会把你能访问的组织的登录入口发到这个邮箱。

第一次用 SSO 登录时，如果这个邮箱已经有 Syfo 账号，系统会让你用邮箱验证码、密码或当前登录状态确认一次，确认后自动关联。之后可以在「设置 → 账号 → 第三方登录」查看已关联的账号。

:::tip
SSO 只用来验证身份。Syfo 不会读取你的飞书或企业微信消息、通讯录。
:::

## 为组织开启 SSO（管理员）

### 开通条件

组织 SSO 需要先由 Syfo 为你的组织开通使用权限。开通前，「设置」里不会出现「登录与身份」这一项。如需使用，请联系我们开通。

开通后，组织的**所有者或管理员**可以在「设置 → 组织 → 登录与身份」里配置。普通成员和访客看不到这一项。

### 配置步骤

每种方式都按页面上的分步说明操作，大致流程相同：

1. 在「登录与身份」里选择飞书、企业微信或「CAS 单点登录」，点「配置」。
2. 按页面提示在对方平台完成设置，并把本页显示的回调地址（企业微信是「可信域名」）填过去。
3. 回到 Syfo，填写凭据，点「保存并继续」：
   - 飞书：App ID 和 App Secret
   - 企业微信：企业 ID、AgentId 和 Secret
   - CAS：Client ID 和 Client Secret。「CAS 地址」由部署方配置，组织管理员不能修改；如果部署没有配置 CAS 地址，就无法使用 CAS 登录。
4. 点「测试连接」检查凭据。
5. 点「验证登录」，输入你当前的账号密码后，亲自完成一次登录。

验证通过后，状态会变成「已验证并启用」，组织登录页才会出现对应的登录按钮。

### 规则和限制

- 一个组织同一时间只能启用一种企业登录方式。想换成另一种，先「停用」当前这种。
- 「邮箱与密码」始终开启，成员随时可以用邮箱和密码登录组织。
- 「停用」后，配置和成员的绑定关系都保留，只是成员暂时不能再用这种方式登录。
- 停用或删除前，如果有成员只依赖这种方式登录，页面会提示「N 位成员需要其他登录方式」，可以点「通知成员设置密码」。至少要有一位 Owner 保留其他可用的登录方式。

### 新成员能不能直接通过 SSO 加入

企业微信和 CAS 有一个开关，决定还没加入组织的人能不能通过 SSO 直接加入：

| 开关 | 打开时 | 关闭时 |
|---|---|---|
| 账号随企业微信开通 | 应用可见范围内的人首次登录即以「成员」身份加入本组织 | 未加入本组织的人需要管理员邀请 |
| 账号随 CAS 开通 | CAS 账号首次登录即以「成员」身份加入本组织 | 未加入本组织的人需要管理员邀请 |

已经被移出组织的人，即使开关打开也仍需重新邀请。

CAS 还有「免验证邮箱域名」：CAS 返回这些域名的邮箱、而且还没有对应账号时，首次登录直接建号，不再发验证码。只精确匹配，不含子域名，最多 20 个。「所有邮箱域名免验证」会对任何域名生效，只在员工不能自己修改 CAS 邮箱时打开。

## 限制谁能通过邀请链接加入

这项设置和 SSO 无关，任何组织都可以用。所有者或管理员在「设置 → 组织 → 基本信息」的「邀请链接邮箱核验」里：

1. 打开「核验邀请链接邮箱域」。
2. 在「允许的邮箱域」里添加域名，例如 `@example.com`。子域需要单独添加。
3. 点「保存邀请策略」。

开启后，只有已验证、并且属于允许域的邮箱才能通过邀请链接加入。发给指定邮箱的邀请不受影响；删除某个域也不会移除已经加入的成员。

## 管理自己的登录

在「设置 → 账号」里可以：

- 在「登录方式」里查看可用的登录方式，关联或「解绑」Google。不能移除最后一种登录方式，没有密码时需要先设置密码。
- 「修改密码」，可以勾选同时退出其它会话。
- 在「会话」里查看登录过的设备，「退出这个会话」或「在所有设备退出」。

## 相关页面

- [组织](https://docs.syfo.ai/zh/docs/organization)：邀请成员和角色
- [权限说明](https://docs.syfo.ai/zh/docs/permissions)：各角色能做什么
- [安全](https://docs.syfo.ai/zh/docs/security)