即时预配

即时预配本质上是一套定义在SSO回调中的解析顺序，而非简单的自动创建账号开关。

在即时预配的解析顺序中，显式绑定关系必须优先于邮箱匹配，已存在的绑定是最强信号。

即时预配成功后应存储身份提供商侧的稳定标识（如OIDC的sub或SAML的NameID）与本地用户的绑定，避免每次登录重新匹配邮箱。

常见误区是把即时预配等同于自动注册；自动注册应是可配置策略，而非默认行为。

落地检查应确认三点：绑定先于邮箱匹配、邮箱匹配仅在身份提供商声明邮箱已验证时生效、绑定记录包含稳定标识和来源信息。