TG咨询企业移动工作区接入SAML与OIDC身份联邦的方案比较，不能只看协议新旧，还要看员工从手机或浏览器进入工作区后，身份如何传递到内部应用。简要结论是：以浏览器访问和现有SAML集成为主，可优先评估SAML；需要原生移动应用、API授权或灵活令牌校验时，通常更适合OIDC。两者都能实现单点登录（SSO），但接入流程与运维重点不同。
先看两种协议实际传递什么
SAML 2.0通过身份提供方（IdP）向服务提供方（SP）发送经过签名的XML断言，常见于浏览器跳转登录。断言可包含用户标识、姓名、邮箱和组等属性；接入时要核对实体ID、ACS地址、签名证书及属性映射。证书轮换和断言有效期需要纳入运维计划。
OIDC建立在OAuth 2.0之上，使用ID令牌表达认证结果，令牌通常采用JWT格式。移动原生应用可使用授权码流程配合PKCE，并通过系统浏览器完成认证，避免把用户密码交给应用本身。校验时应检查签发者、受众、有效期、随机数等字段；访问API还要区分ID令牌与访问令牌，不能混用。
按工作区和应用形态选择
| 评估点 | SAML | OIDC |
|---|---|---|
| 主要适用场景 | 浏览器工作区、已有SAML应用、企业门户统一登录 | 原生移动应用、现代Web应用、需要令牌调用API的场景 |
| 集成要点 | 元数据、ACS地址、断言签名、属性映射 | 客户端注册、重定向地址、授权流程、令牌校验 |
| 主要优势 | 适配许多既有企业应用，身份属性表达成熟 | 移动端流程更自然，令牌适用于现代应用与API架构 |
| 主要限制 | XML断言和浏览器跳转对原生应用接入不够直接 | 需要妥善管理客户端、令牌生命周期及刷新策略 |
例如，员工在iPhone上的工作区打开一个只支持SAML的旧式网页应用，可由工作区或身份代理完成浏览器联邦；若工作区本身是原生应用，并需访问受保护的业务API，OIDC通常更顺手。若平台两种协议都支持，也可以按应用分别接入，不必强行全企业只留一种。
落地前按这四步核对
- 盘点入口。列出工作区是浏览器、原生应用还是混合形态，并逐个记录目标应用支持的协议、回调地址和用户标识要求。
- 确认身份平台能力。检查IdP能否签发所需属性、执行多因素认证并限制重定向地址；涉及移动原生应用时，确认是否支持授权码加PKCE。
- 先接测试应用。建立测试账号，验证正常登录、错误属性、过期会话和账号停用后的行为。SAML重点检查签名和断言受众；OIDC重点检查签发者、受众、随机数及令牌有效期。
- 安排运行维护。明确证书或客户端凭据的轮换责任、登录故障日志位置和回滚方法，并测试不同应用的退出行为。
不要把身份联邦等同于账号生命周期
身份联邦解决的是认证信息如何在IdP与应用间传递，不代表应用账号会自动创建、更新或删除。若要统一账号生命周期，可另行评估SCIM等配置管理机制，或由应用管理员制定明确的开通与停用流程。登出也需逐应用验证：SAML单点登出并非所有服务都以相同方式支持，OIDC的登出能力同样取决于客户端和身份平台实现。不能只凭一次登录成功就认定接入完成。
最终选择应落到工作区客户端和目标应用的真实兼容性上：浏览器及既有企业应用占主导时，先评估SAML；原生移动端和API调用占主导时，优先评估OIDC；两类场景并存时，按应用组合接入更务实。企业移动工作区接入SAML与OIDC身份联邦的方案比较，核心不是选出绝对赢家，而是让认证流程、安全校验和后续运维相互匹配。
常见问题
SAML和OIDC能同时使用吗？
可以。身份平台或中间代理支持相应配置时，可让不同应用使用不同协议，并统一用户认证策略。
接入OIDC后还需要单点登录吗？
OIDC本身可用于单点登录，但各应用会话、令牌期限和退出机制仍需分别设置和验证。
身份联邦会自动创建员工账号吗？
不一定。是否即时建号取决于应用配置；跨系统开通、资料更新和停用通常还需独立流程或SCIM支持。