3.3 第三方登录
第三方登录让员工用企业已有的身份（飞书、钉钉、GitHub 或任意标准 OAuth2 身份源）一键登录 MoAI，无需单独注册账号、无需再记一套密码。对企业 IT 来说，账号的开停跟随身份源统一管理，是接入企业统一认证的第一步。
配置入口在管理员侧边栏的「第三方登录」菜单，采用标准 OAuth2 授权码协议，配置一次全员生效。
工作原理
平台在登录页展示所有已启用的第三方登录入口：
完整的登录过程是标准 OAuth2 授权码流程：
- 员工点击登录页的第三方图标，平台带着 Client Id 跳转到对应身份源的授权页；
- 员工确认授权（企业内部应用通常已自动登录，只需一次点击）；
- 身份源带着授权码回跳平台固定回调地址
{平台地址}/oauth_login； - 平台用密钥换取用户身份：已绑定过平台账号的直接进入；首次使用会弹出确认框「是否一键注册并登录」，确认后自动建号进入。
也就是说，员工第一次用飞书登录时点一次「注册并登录」，之后每次登录都只需在飞书侧确认授权，全程不需要密码。
管理连接器
「第三方登录」页展示全部连接器，每一行就是一个可用的登录入口：
列表展示名称、提供商、应用 Key、图标与授权地址；行操作为编辑、删除。已配置的连接器保存后立即出现在登录页，删除则同步从登录页移除。
新建连接器
点击「新建连接」：
| 字段 | 说明 |
|---|---|
| 名称 | 显示名，会作为图标的悬停提示 |
| 提供商 | Feishu / DingTalk / GitHub / Custom OAuth 四选一 |
| 应用 Key | 身份源发放的 Client Id（如飞书的 App ID） |
| 密钥 | 身份源发放的 Client Secret；编辑时留空表示保持不变 |
| 图标地址 | 登录页按钮图标，可直接填 URL 或点「上传图标」上传；飞书、钉钉已内置默认图标 |
| 发现端点（WellKnown） | 仅 Custom OAuth 需要填：身份源的 .well-known/openid-configuration 地址，平台据此自动获取授权与令牌端点；飞书、钉钉的端点已内置，无需填写 |
操作示范（接入企业飞书登录）：
- 在飞书开放平台创建企业自建应用，获取 App ID 与 App Secret；
- 在应用的「安全设置」中把重定向 URL 登记为
{平台对外地址}/oauth_login； - 回到平台「第三方登录」页点「新建连接」，提供商选 Feishu；
- 填入应用 Key（App ID）与密钥（App Secret），保存；
- 退出登录，登录页出现飞书图标，用企业飞书账号点一次「注册并登录」验证闭环。
操作示范（接入 Casdoor、Keycloak 等自建身份源）：
- 在身份源侧创建 OAuth 应用，拿到 Client Id / Secret，重定向地址同样登记
{平台对外地址}/oauth_login； - 新建连接时提供商选 Custom OAuth，应用 Key、密钥照填；
- 发现端点填
https://身份源地址/.well-known/openid-configuration，保存即可。
员工登录与账号绑定
- 首次登录：授权后弹出「检测到该账号尚未绑定本平台账号，是否一键注册并登录」，确认后自动创建平台账号并进入；
- 后续登录：同一身份源账号直接登录，不再弹确认；
- 一号多源：同一个平台账号可以分别绑定飞书、钉钉、GitHub 等多个身份源，任一入口都能进入同一账号；
- 绑定管理：员工可从右上角头像菜单进入「设置」的账号页，在第三方账号绑定区查看各身份源的绑定状态，并自行绑定或解绑。
案例：企业统一身份落地
以飞书企业为例，看 IT 管理员如何把 MoAI 纳入统一身份：
- 创建应用：在飞书开放平台创建企业自建应用「AI 平台」，开通网页应用授权，登记重定向地址；
- 配置连接器：在 MoAI 新建连接器，填入 App ID / App Secret，两分钟完成；
- 全员生效：登录页立即出现飞书图标，员工用企业飞书账号一键进入，没人需要注册，IT 也不再收到「忘记平台密码」的工单；
- 离职即断：员工离职时在飞书管理后台停用其账号，其授权自然无法通过；如需立即阻断平台内的历史登录态，可同时在 3.1 管理系统的用户管理里禁用该账号，双保险。
常见问题
点击第三方图标后报错或无反应？
依次检查：连接器的应用 Key / 密钥是否填对；身份源侧的应用是否已发布上线（飞书企业自建应用需发布版本才对成员可见）；重定向地址是否已在该身份源的应用后台登记，且与平台对外地址完全一致。
回调地址应该填什么？
固定为 {平台对外地址}/oauth_login（平台地址即部署配置中的 WebUI 地址）。平台跳转授权时会自动携带它，身份源侧登记的值必须与之完全一致，否则会报 redirect_uri 错误。
员工换了飞书账号，登进去的是旧账号？
平台按身份源的用户标识绑定账号。员工更换身份源账号后会被视为新用户再次一键注册，此时应让他先在平台「账号设置」解绑旧身份源，或由管理员清理旧账号。
可以同时开多个身份源吗？
可以。每个连接器是登录页上一个独立入口，员工任选其一；多个身份源可绑定到同一个平台账号。