企业微信局域网版怎么和内网 OA 做单点登录集成？
员工每天上班先登 OA、再登企业微信、再登业务系统，三套密码三遍登录——单点登录（SSO）要解决的就是这个重复。把企业微信（局域网部署/私有化部署形态）和内网 OA 打通后，一次登录处处通行。集成的原理和路径如下。
问题
SSO 集成不是「设置里点一下」，而是一次小型的系统对接工程：涉及身份源的选择、协议的匹配、以及内网系统之间的信任关系。动手前先理解原理，再按步骤实施，可以少走很多弯路。
原因分析
- 身份源不统一：OA 一套账号、企业微信一套账号，没有权威的身份来源，谁同步谁说不清。
- 协议不匹配：内网老 OA 只支持表单登录，不支持 OAuth2/OIDC/CAS 等标准协议，需要适配层。
- 网络边界未打通：企业微信服务器和 OA 服务器之间有防火墙隔离，回调地址不通，登录跳转卡死。
- 账号对不上：两边账号命名规则不同（工号 vs 手机号），映射关系没建立。
分步解决
第一步，定身份源与账号映射。 先决定谁是权威：多数企业以 OA/AD（域）为人事身份源，企业微信侧账号与之绑定。建立映射字段（推荐用不可变的工号），并把两边存量账号批量核对一遍——名字重复、工号缺失的先清理，映射错了后面全错。
第二步，选定集成协议。 企业微信私有化/局域网版支持 OAuth2 类的免登与身份接口；OA 若支持标准 OAuth2 或 CAS，直接对接：OA 登录跳转企业微信授权，授权后带票据返回，OA 验证后发会话。OA 太老不支持标准协议的，在中间加一层认证网关（部分门户/零信任产品自带该能力），把表单登录包装成标准协议再接。
第三步，打通网络与配置回调。 在防火墙上放行 OA 服务器与企业微信服务之间的互访（授权接口、用户信息接口），OA 侧配置的回调地址必须是员工浏览器在内网真实可达的地址——「登录后白屏」八成是回调地址不通或写错。
第四步，灰度验证。 先给一个测试组开通单点登录：验证首次绑定流程、免登跳转、退出登录的一致性、以及企业微信侧离职账号停用后 OA 会话是否随之失效。全部通过再全员放开。
第五步，固化账号生命周期。 集成后必须建立联动规则：入职在身份源建号自动同步开通，离职停用一处、处处生效。把这条写进入离职流程，SSO 才不会变成「离职了微信停了、OA 还活着」的新漏洞。
预防
- 所有新内网系统采购时把「支持 OAuth2/OIDC」写进选型要求，从源头减少适配成本。
- 每年做一次账号与权限联动审计，核对身份源与各系统的一致性。
- 内网系统单点登录集成与身份统一规划，贵州诚鑫致达科技可提供实施服务。
企业存储选型参考｜贵州诚鑫致达
做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。