企业上线一款 SaaS 工具之前，安全负责人的审计清单里几乎都会问到：密码登录能不能关掉、API 密钥的权限能不能收窄到最小、登录失败有没有防护、员工离职后账号怎么处理。
这些问题过去分散在不同版本里逐步解决，这次一并说明。以下四项更新分别对应登录、密钥授权、私有化环境和成员管理，SaaS 与私有化部署的覆盖范围不完全一致，具体差异见各段。
强制 SSO，关掉密码登录
在 平台管理 → 单点登录 中配置 SAML2.0、OIDC 或 CAS 协议后，可以开启「成员仅支持 SSO 登录」。开启后账户内成员只能通过身份提供商登录，密码和验证码登录会被拒绝，首次配置 SSO 时该开关默认已打开。私有化部署额外支持 LDAP 协议接入同一开关。
App Key 从「全量授权」改成按需勾选
以前 APP Key 只能生成一把能调用全部接口的钥匙。现在创建或编辑时可以选自定义权限，只勾选这把 Key 实际要用的接口范围，超出范围的调用会被拒绝，即使选全部权限也仍受创建者角色权限约束。已有 Key 也能重新编辑权限范围，配合定期轮换，缩小密钥暴露面。
私有化部署：登录防爆破，会话时长可配置
私有化部署环境下，登录失败次数超过限制会触发图形验证码，降低密码被暴力枚举的风险；会话过期时长也开放为可配置项，团队可以按自己的安全策略设定登录会话的有效期，不再固定用同一个默认值。这两项目前只在私有化部署提供，SaaS 版本不涉及。
身份映射更严谨，成员删除更彻底
SSO 场景下，用户 ID 映射改为可选，并移除了 provider_key 身份维度，减少身份提供商字段变化导致的登录异常；多个新成员同时 SSO 首次登录（JIT 建号）时，建号逻辑改为串行，避免并发重复建号。团队与成员页面的删除成员操作，配套了更完整的清理逻辑，减少删除后遗留的关联数据。
开始使用
强制 SSO 的开关在 平台管理 → 单点登录，详见单点登录文档。自定义权限的 App Key 在 账户设置 → APP Key 创建，详见 Open API 文档。成员删除入口在 平台管理 → 成员管理，详见成员管理文档。
私有化部署的登录防爆破和会话时长配置，请联系我们的技术支持获取部署指引。