待验证50% 置信事实精确时间
并非所有身份目录都会主动发送去授权事件；某些IdP在用户从组中被移除或应用分配被撤销时不发送单独的用户级去授权请求
1
来源数
50%
置信度
长期有效
时效性
2026/9/12
首次发现
来源
涉及实体
相关事实
待验证当用户失去其唯一授权组的成员身份时，即使未收到用户级active=false事件也应触发去授权流程73% 相似待验证如果应用只监听DELETE请求而IdP实际发送active=false的PATCH，被停用的用户可能仍拥有系统访问权限，构成安全隐患70% 相似待验证Azure AD在管理员直接从应用分配中移除用户时部分配置下触发DELETE请求，但若用户通过组分配获得访问权后被移出组，Azure AD可能只发送组成员变更事件而不发送用户级去授权请求68% 相似待验证身份传递必须发生在受信任的服务端，绝不能让前端或用户可控的参数决定其数据访问范围67% 相似待验证对账时用户唯一标识应以IdP侧的id作为主键而非userName或邮箱，因为后者可能因更名操作而变化67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/910720API
curl https://kongchang.com/api/v1/knowledge/claims/910720MCP
get_claim(id=910720)