SAP 场景下的 SAML 2.0 Single Log-Out，别只盯着登录，退出链路更容易出事故

做 SAP Fiori Launchpad、SAP GUI for HTML、RAP OData 服务、CAP 应用、SAP Commerce Cloud 店铺、SAP BTP 扩展应用集成时，SSO 往往最容易被讨论。项目会议里经常会把登录链路画得很细，浏览器访问业务入口，跳到 IdP，认证成功，带着 SAML Assertion 回到 SP，ABAP 端创建 session，Fiori 页面正常打开，测试人员点几下 tile，一切看起来都很顺。真正容易被忽略的，反而是退出。在企业系统里，登录成功只是一半闭环。业务人员关闭浏览器标签页、点击 Fiori 右上角退出、从某个 SaaS 系统注销、从公司统一门户退出，这些动作在技术上不是同一个动作。浏览器里的 cookie、ABAP ICM 连接、SAP Web Dispatcher 后面的服务节点、IdP 侧的认证会话、各个 SP 自己维护的应用会话，都可能还留着。SAML 2.0 Single Log-Out，也就是 SLO，解决的正是这个问题。SLO 不是简单把当前网页跳到一个 logout URL。它的目标是在一个 SAML landscape 里，把和同一个登录身份有关的多个会话尽量干净地关闭，哪怕这些会话分散在不同域名、不同系统、不同技术栈里。对于 SAP 系统，这一点非常现实。一个典型集团客户的前端入口可能是 SAP Build Work Zone，身份源可能是 SAP Cloud Identity Services Identity Authentication，核心业务在 SAP S/4HANA On-Premise，部分扩展应用部署在 SAP BTP ABAP environment，另有 CAP 服务和 SAP Commerce Cloud。登录