[P3] enterprise: SSO / SAML / OIDC not verified in any template

[xuyushun441-sys]

来源：docs/PLATFORM_GAPS_FROM_TEMPLATES.md 第 19 条（P3）。

现象

平台未在任何模板中验证 SSO / SAML / Okta / Azure AD / OIDC 登录通道。
中大型客户的安全合规清单普遍要求 SSO，缺失会直接被 RFP 否决。

建议范围

M1：SSO 抽象

• auth_provider 系统对象 + plugin
• 内置：SAML 2.0、OIDC（Okta / Azure AD / Google Workspace）

M2：Just-in-Time provisioning

• 首次登录创建 user，按 IDP claims 映射到 role / profile / team

M3：会话与多 tenant

• 多 IDP 共存（按邮箱域名路由）
• 会话生命周期与 IDP 一致

M4：验证

• 模板模式：每个模板支持 SSO 接入示例
• 真实 IDP 集成自动化测试（Auth0 sandbox）

验收

• SAML + OIDC 通道可用
• 模板文档化 SSO 配置
• 缺陷库 gap Add language switch feature to support Chinese #19 标记为已解决