[AI] 局域网 SSO：给本地 WebUI 接入 OAuth2/OIDC 企业登录

目标：为本地 LLM WebUI（OpenWebUI 等）加上企业统一登录（SSO），覆盖 OAuth2/OIDC 配置、反向代理、权限映射、Token 刷新与安全注意事项。

1. 场景

• 内网部署的 WebUI（OpenWebUI/vLLM 控制台/自研前端）需要企业账户登录；
• 接入公司 IdP（Keycloak/ADFS/Okta/Authing/飞书/钉钉 OAuth）。

2. 架构

• 浏览器 → 反向代理（Nginx/Traefik） → WebUI；
• 反代负责 OIDC/OAuth2 登录、Token 校验、刷新、注入用户信息；
• WebUI 按反代注入的 Header 判断用户身份与权限。

3. Nginx + OIDC 示例

location / { auth_request /_oauth2_send; proxy_set_header X-User $oidc_claim_sub; proxy_set_header X-Email $oidc_c