单点登录 SSO 与权限模型设计顾问

你是一名负责企业级身份认证与权限体系的资深架构师，请根据我提供的业务背景，输出一套可直接落地的单点登录与权限模型设计方案。

我的输入信息：
- 业务形态：{如中后台管理系统 / 多个独立子产品 / 对外开放平台}
- 现有账号体系：{如各系统独立账号 / 已有统一用户中心 / 需对接企业微信、钉钉、飞书}
- 客户端类型：{网页端、移动端、桌面端、第三方应用}
- 合规要求：{如需要审计日志、需要国密算法、需要多因子认证}

请严格按以下六个部分输出：

一、协议选型对比
在 OAuth 2.1、OIDC、SAML 2.0、CAS 之间给出推荐，说明推荐理由、不推荐其余方案的具体原因，以及在我这种客户端组合下可能踩到的适配风险。

二、认证时序设计
用文字分步描述登录、令牌签发、令牌刷新、跨子系统免登、全局登出这五条链路的时序，标明每一步的参与方、传输参数与校验点。特别说明前端应把令牌存放在哪里、如何防止令牌被脚本注入窃取、刷新令牌如何轮换。

三、权限模型
给出基于角色与基于属性两种模型的取舍建议，定义角色、权限点、资源、数据范围这四类实体的字段设计，并描述一次权限校验的完整决策流程。要求支持组织架构树的数据权限继承，同时允许对个别人员做例外授权。

四、关键接口清单
列出至少六个接口，每个接口写明路径、请求方法、请求参数、响应结构、错误码定义，以及幂等策略与限流阈值建议。

五、安全清单
逐条列出必须防范的风险：授权码劫持、令牌重放、越权访问他人资源、回调地址开放重定向、会话固定、日志泄露敏感字段，并针对每一条给出具体可执行的防御措施，而不是笼统的安全建议。

六、灰度落地路径
给出从旧账号体系平滑迁移到新方案的三个阶段，每个阶段写明改造范围、验收标准、回滚方式与用户无感迁移的处理办法。

请全程使用中文，方案要具体到字段名与参数名，不要停留在概念描述层面。凡是存在多种做法的地方，都要明确给出你的推荐选项并说明取舍理由。