企业多端登录配置

入口在哪

产品入口：先选择目标企业 → 配置管理 → 企业信息 → 多端登录配置。多端登录策略按企业保存，因此进入配置管理前应先确认当前企业。只有超级管理员或当前企业的企业管理员可以查看并调整“多端登录配置”。

策略说明

操作步骤

1. 使用超级管理员或企业管理员账号登录平台，先在企业选择入口切换到要配置的目标企业。

2. 进入“配置管理”，打开“企业信息”，并进入“多端登录配置”页签；再次核对当前企业名称，避免改错企业。

3. 根据安全要求选择“允许”“允许并通知”或“禁止”。

4. 单击“保存”，等待页面提示“保存成功”。

5. 如果选择“禁止”，检查测试账号所属的其他企业，确认这些企业也都已经选择并保存“禁止”。

如何验证配置成功

准备两个不同的设备，或使用两个独立的浏览器环境，以同一个测试账号登录。不要使用正在处理未保存业务数据的生产账号验证“禁止”策略。

1. 验证“允许”：先在设备 A 登录，再在设备 B 登录；两个会话都应保持可用。

2. 验证“允许并通知”：先在设备 A 登录，再从新的设备或浏览器环境登录；原会话应保持可用，测试账号应收到包含登录时间、设备/浏览器和相关企业信息的站内通知。

3. 验证“禁止”——平台登录页：确认测试账号所属的所有企业都已经选择并保存“禁止”，先在设备 A 登录，再从设备 B 的平台登录页使用账号密码或验证码登录。设备 B 应提示“账号已在其他设备登录”，并说明继续登录后原登录会话将自动退出；选择“继续登录”后，新设备完成登录，原设备的旧 Token 失效。在设备 A 刷新页面或发起接口请求，应收到 401，随后退出并跳转到登录入口。测试账号还应收到会话替换通知。

4. 验证“禁止”——SSO：先在设备 A 登录，再从设备 B 发起 SSO 登录。SSO 登录不显示会话替换确认提示，新设备完成登录后系统直接替换原有会话。随后刷新设备 A，确认旧请求返回 401，以及页面是否退出并跳转；若页面随后自动恢复登录，参考“常见问题”检查客户侧会话和双方注销链路。

5. 验证多企业例外：将测试账号所属的任一企业改为“允许”或“允许并通知”，或保留一个企业未配置；再次双端登录，账号不应启用单会话控制。

常见问题

问：当前企业已选择“禁止”，为什么同一账号仍能在两台设备上登录？

答：先检查该账号是否还属于其他企业。只有所有所属企业都明确保存“禁止”时，单会话控制才会启用；任一企业允许多端登录或缺少配置，都会保留多端登录能力。

问：保存“禁止”后，为什么当前在线用户没有立即退出？

答：保存策略不会立即注销现有会话。当该账号下一次登录并建立新会话时，系统才会替换原有会话。

问：“允许并通知”会把原设备退出吗？

答：不会。该策略允许多个设备同时登录，只在检测到新的设备或浏览器标识时发送站内通知。

问：选择“禁止”后，哪个会话会保留？

答：新设备登录成功后，新会话保留，其他设备的旧 Token 失效。旧设备通常在刷新页面或再次调用接口后收到 401，随后执行退出和跳转。验证前应提醒测试用户保存正在编辑的内容。

问：通过 SSO 登录后，看起来没有把旧设备踢下线，怎么办？

答：在旧设备刷新页面，并通过浏览器开发者工具查看接口响应。如果旧请求返回 401，说明平台侧旧 Token 已经失效，单会话替换成功。

如果页面退出后又很快恢复登录，通常是因为退出动作只退出了平台，客户系统或身份提供方的 SSO 会话仍然有效，随后又自动为用户签发了新的平台 Token。

定开 SSO 项目应在退出链路中同时退出平台和客户系统，避免客户侧会话将用户自动登录回来。具体实现应结合客户身份系统的注销接口，在 SSO 定开中完成双方会话注销；可参考 SSO 退出登录 的退出链路说明。

问：为什么没有收到登录通知？

答：先确认确实使用了新的设备或浏览器环境，再检查站内消息服务和消息模板是否正常。通知发送失败不会改变登录结果，应结合账号服务与消息服务日志排查。