sso优化

README.md

@@ -173,14 +173,20 @@ Sso__UserNameClaim=preferred_username
 Sso__RequireHttpsMetadata=true
 Sso__LinkExistingUsersByUserName=true
 Sso__FrontendBaseUrl=https://jiaowu.example.edu.cn
+Sso__CallbackUrl=https://jiaowu.example.edu.cn/signin-keycloak
 ```
 
 前后端同域时 `Sso__FrontendBaseUrl` 可以留空。本地 Vite 开发默认回到
 `http://localhost:5173`，Keycloak 测试客户端需同时允许
-`http://localhost:5255/signin-keycloak`。生产环境位于反向代理之后时，应确保应用收到
-正确的公开 HTTPS scheme（例如设置 `ASPNETCORE_FORWARDEDHEADERS_ENABLED=true`），
-否则生成的 Keycloak 回调地址可能错误。多实例部署应配置 Redis，以便任意实例都能兑换
-两分钟内有效、使用后即删除的 SSO 登录码。
+`http://localhost:5255/signin-keycloak`。`Sso__CallbackUrl` 是应用实际发送给 Keycloak
+的 `redirect_uri`，必须与客户端的 Valid redirect URI 完全一致；建议生产环境始终显式
+配置它，避免反向代理导致 scheme 或 host 推导错误。个人账户页的“管理员配置参考”也会
+显示当前生效的完整回调地址。多实例部署应配置 Redis，以便任意实例都能兑换两分钟内
+有效、使用后即删除的 SSO 登录码及五分钟内有效的绑定意图。
+
+用户登录后可从页面右上角进入“个人账户”，主动绑定或解除 Keycloak 账号。主动绑定先
+使用当前 JWT 创建五分钟有效的一次性绑定意图，再跳转 Keycloak；回调只能绑定到发起该
+意图的本地账号。解绑需要再次验证本地密码，避免仅凭未锁屏的登录会话解除身份关联。
 
 ### Linux systemd 服务