computersciencehouse/discourse-oidc

Discourse OpenID Connect SSO 镜像

镜像概述和主要用途

本镜像提供一个实现Discourse论坛单点登录(SSO)协议的应用，作为OpenID Connect身份提供商(IdP)与Discourse之间的桥接服务。该应用负责验证来自Discourse的请求，通过配置的OpenID Connect IdP完成用户认证，并生成符合Discourse要求的令牌返回。基于https://github.com/fmarco76/DiscourseSSO%E9%A1%B9%E7%9B%AE%E5%BC%80%E5%8F%91%E3%80%82

核心功能和特性

• 实现Discourse官方SSO协议，支持与Discourse论坛无缝集成
• 与OpenID Connect身份提供商对接，支持标准OIDC认证流程
• 验证Discourse发送的SSO请求合法性，确保请求来源可信
• 处理用户认证流程，从OIDC IdP获取用户信息并映射至Discourse所需属性
• 生成加密的SSO响应令牌，确保用户身份信息安全传输

使用场景和适用范围

适用于需要为Discourse论坛配置单点登录的场景，特别是当组织已部署OpenID Connect身份提供商(如Keycloak、Auth0、Okta等)，希望通过统一身份认证系统管理Discourse访问权限时。典型应用包括企业内部论坛、学术社区、组织协作平台等需要集中身份管理的环境。

使用方法和配置说明

前置要求

• 已部署的Discourse论坛实例
• 可访问的OpenID Connect身份提供商(IdP)
• 网络可互通的Discourse与本应用部署环境

Discourse配置

1. 按照Discourse官方文档启用SSO功能
2. 设置SSO URL为：https://<your-discourse-oidc-domain>/sso/login（替换为实际部署的DiscourseOIDC服务域名）
3. 生成随机字符串作为sso_secret，需确保与DiscourseOIDC配置一致

DiscourseOIDC配置

应用配置文件为config.py，关键配置参数如下：

用户属性映射示例

python
USER_ATTRIBUTE_MAP = {
    'email': 'email',          # Discourse的email属性映射到OIDC用户数据的email字段
    'name': 'display_name',    # Discourse的name属性映射到OIDC用户数据的display_name字段
    'username': 'preferred_username'  # Discourse的username属性映射到OIDC用户数据的preferred_username字段
}

部署示例

Docker Run命令

bash
docker run -d \
  --name discourse-oidc \
  -p 8080:8080 \
  -v /path/to/config.py:/app/config.py \
  --restart always \
  csHouse/discourse-oidc:latest

Docker Compose配置

yaml
version: '3'
services:
  discourse-oidc:
    image: csHouse/discourse-oidc:latest
    container_name: discourse-oidc
    ports:
      - "8080:8080"
    volumes:
      - ./config.py:/app/config.py
    restart: always
    environment:
      - FLASK_ENV=production  # 可选，设置运行环境

注意事项

• 确保DISCOURSE_SECRET_KEY在Discourse和DiscourseOIDC两边完全一致，否则SSO验证将失败
• OIDC IdP需正确配置允许DiscourseOIDC的重定向URI
• 用户属性映射需根据OIDC IdP返回的实际用户数据结构进行调整
• 建议通过HTTPS部署DiscourseOIDC服务，确保认证过程中的数据安全