你的 SaaS 有 1 万用户，员工离职后谁来撤销他们的访问权限？

当客户管理员或身份提供商停用离职员工账号时，SaaS 应用必须自己执行访问撤销，仅阻止下次登录并不等于已吊销现有会话和令牌。启用 SSO 时，身份提供商侧封禁登录后，应用会话与已签发的 JWT 仍需单独处理；使用 SCIM 可在身份提供商与应用之间自动同步用户的增删与成员变更。