企业 SSO 登录

仅组织受信名单内的身份提供方可完成登录(PKCE 全程,名单空 = 默认拒绝);登录凭据由服务端以 HttpOnly Cookie 保管,不经过浏览器脚本。