移动端sso

README.md

@@ -194,6 +194,14 @@ Sso__CallbackUrl=https://jiaowu.example.edu.cn/signin-keycloak
 显示当前生效的完整回调地址。多实例部署应配置 Redis，以便任意实例都能兑换两分钟内
 有效、使用后即删除的 SSO 登录码及五分钟内有效的绑定意图。
 
+Android App 使用系统浏览器完成 Keycloak 登录，再通过 `https://eis.biss.click/sso/callback`
+或 `/sso/bind` 的 Android App Link 回到应用；Keycloak 的 Valid redirect URI 仍然只配置
+`Sso__CallbackUrl`（即 `/signin-keycloak`），不要配置 `mingxu://`。正式发布前，将 Play
+App Signing 证书的 SHA-256 指纹写入 `web/public/.well-known/assetlinks.json`，并确保该文件
+以 `application/json` 在 `https://eis.biss.click/.well-known/assetlinks.json` 可匿名访问。当前
+配置的包名为 `edu.mingxu.jiaowu`；站点域名或正式签名证书变更时必须同时更新此文件和 Android
+Manifest 后重新签名发布 APK/AAB，此类变更不能通过 OTA 下发。
+
 用户登录后可从页面右上角进入“个人账户”，主动绑定或解除 Keycloak 账号。主动绑定先
 使用当前 JWT 创建五分钟有效的一次性绑定意图，再跳转 Keycloak；回调只能绑定到发起该
 意图的本地账号。解绑需要再次验证本地密码，避免仅凭未锁屏的登录会话解除身份关联。