e nel log SSO dettagliato compare “Nonce già scaduto”, non vedo altri messaggi di errore.
Non funziona né nell’ambiente di produzione né in quello di sviluppo, quindi non credo che sia correlato alla configurazione del server; non sono state apportate modifiche al codice SSO.
Ho bisogno di indicazioni su dove approfondire: è cambiato qualcosa nel SSO o sono state aggiunte nuove opzioni di configurazione tra la versione 2.5.1 e la 2.6.2?
Grazie per i dettagli via PM @rysher. Nel caso possa essere utile a qualcun altro, il problema qui era che il flusso DiscourseConnect veniva avviato da una richiesta lato server proveniente dal provider di identità. Questo non è il modo in cui il protocollo è progettato per essere utilizzato, sebbene prima dell’ultimo commit di sicurezza fosse tecnicamente possibile.
La soluzione è assicurarsi che gli utenti vengano reindirizzati a /session/sso nel proprio browser prima di essere inviati al provider di identità.