企业系统接入单点登录，先把身份、账号和业务权限分开设计

先划清四个责任边界

先判断哪些系统值得接入统一身份

这份指南适合接入企业身份平台的内部管理系统、供应商门户和需要统一员工账号的定制软件。面向公众的消费者注册、合作方自有账号，或只有少量固定使用者的独立工具，未必应该强行纳入同一登录路径。

立项时先列出使用人群、身份来源、访问网络、终端类型和合规要求。员工、外包人员、供应商和客户即使进入同一个系统，也可能由不同身份源管理；不要为了界面上只有一个登录按钮，就假设所有账号能采用同一种开通和停用规则。

• 列出本期接入的系统、环境和用户类型，明确测试环境是否使用独立客户端配置。
• 确认身份平台由谁运维，应用注册、密钥轮换和故障联络分别由谁负责。
• 把“本期只做登录”或“同时做账号同步与权限映射”写进交付边界。

协议选择从现有身份平台和应用能力出发

新 Web 应用常见做法是使用 OpenID Connect，让应用根据身份平台完成的认证识别用户；已有企业环境也可能采用 SAML。不要只按团队熟悉程度决定，而要核对身份平台支持能力、应用技术栈、终端形态和现有安全要求。

OpenID Connect 在 OAuth 2.0 之上提供身份层，应用需要验证 ID Token 的签发方、受众、有效期、签名等信息。登录回调地址应精确登记，开发、测试和生产使用不同配置。本文不替代具体身份平台的当期接入文档，实施时仍需按目标产品核对端点、证书、密钥和退出能力。

• 记录协议、授权流程、回调地址、客户端类型、密钥保管人与轮换方式。
• 确认桌面端、移动端、内嵌页面和服务间调用是否需要不同的认证方式。
• 联调日志保留请求编号和错误原因，不记录完整令牌、密钥或不必要的个人信息。

用稳定标识关联账号，不把邮箱当永久主键

姓名、邮箱、手机号和工号都可能变更、复用或在不同公司重复。账号关联应使用身份平台提供的稳定主体标识，并同时记录其签发方；展示信息可以更新，但不能因为邮箱变化就自动创建第二个业务账号。

首次上线还要处理历史账号。可先生成候选匹配清单，由管理员确认冲突和合并结果，再写入外部身份关联。不要在用户第一次登录时仅凭同名或同邮箱静默合并，否则可能把订单、审批和客户数据挂到错误的人名下。

• 建立“身份源 + 稳定主体标识”到本地账号的唯一关联，并限制重复绑定。
• 为邮箱变更、重名、工号复用和员工返聘分别准备测试样例。
• 迁移前导出冲突清单，保留合并、解绑和重新绑定的审批及操作记录。

登录成功后，再由业务系统判断能看什么、能做什么

身份平台可以提供部门、岗位或群组等声明，但这些信息不应自动等同于合同审批、客户归属或财务导出权限。认证回答“用户是谁”，授权还要结合业务角色、数据范围、审批状态和最小权限原则。

如果确实使用群组映射角色，应定义默认无权限、未识别群组、多个群组冲突和映射变更的处理方式。高风险权限建议保留业务负责人审批，不要让组织目录的一次普通调整直接授予批量导出或资金操作能力。

• 用角色矩阵列出菜单、动作、数据范围和审批人，不只列页面名称。
• 默认角色只开放完成基础工作的必要能力，敏感权限单独申请并定期复核。
• 分别测试无群组、错误群组、跨部门调动和同时拥有多个角色的账号。

账号开通、转岗和停用要形成可补偿的闭环

如果身份平台支持 SCIM，可用标准化的用户和群组资源完成账号配置；也可以使用事件通知、目录同步或定时导入。选哪种方式不是重点，重点是定义数据主责、同步时限、幂等处理、失败重试与人工补救。

停用不能只禁止下一次登录。项目要检查本地会话、API 令牌、移动端登录态、个人访问密钥和待办代理关系是否仍然有效。离职账号的业务记录通常应保留审计，不应通过删除账号来清除历史责任人。

• 约定创建、属性更新、禁用和重新启用的来源、时限及失败告警。
• 同步请求使用稳定事件标识或版本信息，重复到达时不能重复建号或覆盖新数据。
• 用计时测试验证离职停用后，网页、移动端和接口访问在约定时间内全部失效。

统一登录之外，还要设计会话退出与应急进入

用户从身份平台退出后，业务系统已有会话不一定自然结束。应明确单点退出是否支持、会话最长存活时间、敏感操作是否再次验证，以及管理员强制停用后如何撤销活跃会话。

同时保留数量受限的应急管理员账号，用于身份平台或网络故障时恢复服务。应急账号不参与日常工作，凭据分开保管，使用时告警并完整审计；恢复后立即检查使用记录和轮换凭据。

• 区分“退出当前系统”“退出全部系统”和“管理员强制失效”三种动作。
• 为高风险操作设置合适的再次验证条件，不因已经 SSO 就永久信任旧会话。
• 每次发布前验证至少一个受控应急入口，并确认它不会绕过业务审计。

用账号生命周期场景验收，再分批切换登录入口

验收不要停在“点击按钮可以登录”。准备不含真实人员信息的合成账号，覆盖正常员工、无权限人员、转岗、离职、返聘、重复邮箱、身份平台不可用和密钥轮换等场景，并记录预期结果与实际证据。

上线可先选择一个部门或低风险系统，保留旧入口的受控回退窗口。切换期间观察登录失败率、账号同步积压、权限拒绝和应急账号使用情况；达到预先约定的停止条件时暂停扩大范围，而不是临时放宽校验。

• 逐项核对登录、首次建号、属性更新、角色审批、停用、重新启用和审计记录。
• 演练证书或密钥轮换、身份平台超时、重复同步和回调地址配置错误。
• 发布记录包含负责人、监控指标、停止条件、回退步骤和旧入口关闭日期。

需求讨论中的问题