为什么 IdP 登录日志回答不了“这次访问为何被允许”？

IdP 登录日志只能证明 Alice 通过 SSO 认证、MFA 通过且会话有效，无法说明应用为何在该租户上允许 invoice.export。认证事件与授权证据属于不同层：决策记录需包含主体、动作、资源、租户、允许/拒绝、可读原因与策略版本。Permit.io 撰文介绍如何构建可解释的授权审计轨迹，覆盖 grant → enforce → change → revoke 全链路。