这里不是产品站，是我自己的技术分享页。身份认证、Keycloak、企业微信 / 钉钉 / 飞书、Nginx 与证书，都按实际环境记录。
Hostname、退出跳转、OIDC issuer 必须和用户浏览器里看到的地址一致。IP 与域名混用，Cookie 和回调会先乱掉。
可信域名只填域名本身。协议不参与匹配，IP 直接过不了。
证书 90 天，certbot 续期。443 要在云防火墙单独放行，本机监听不等于公网可达。