شكرًا للتفاصيل عبر الرسائل الخاصة @rysher. في حال كان هذا مفيدًا لأي شخص آخر، كانت المشكلة هنا هي أن تدفق DiscourseConnect يُبدأ بواسطة طلب من جانب الخادم من مزود الهوية. هذا ليس الطريقة المصمم عليها البروتوكول للاستخدام، على الرغم من أنه كان ممكنًا تقنيًا قبل التزام الأمان الأخير.
الحل هو التأكد من توجيه المستخدمين إلى /session/sso في متصفحهم الخاص، قبل إعادة توجيههم إلى مزود الهوية.