统一身份认证（SSO）：OIDC 与目录整合

把系统接入统一身份源（LDAP/AD/OIDC）：身份标识唯一、权限集中管理、离职及时回收，同时让登录与授权日志汇聚，便于审计与合规举证。

OIDC 授权码 + PKCE 要点

1 客户端发起授权请求（含 state、code_challenge）
2 用户在 IdP 完成认证
3 回调换取 code，后端用 code + verifier 换 token
4 校验 id_token：签名、iss、aud、exp、nonce
5 会话与令牌生命周期纳入注销与回收流程

接入前先梳理系统清单与账号归属；SSO 上线同步安排本地账号清理，避免"影子账号"继续可用。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌