打通账号不只是单点登录，还要解决组织架构同步、离职回收与外部联系人边界三个问题。做错顺序，后续清理会很麻烦。
很多企业希望员工在企业微信里点一下就能进入内部系统，不用记第二套账号密码。技术上这是单点登录，但真正麻烦的是账号从哪来、什么时候失效、谁能看到谁的资料。
第一步是确定主数据方向。常见做法是以企业微信的组织架构为主数据，自建系统按部门与人员自动建号，人员变动以企业微信为准。反向同步也可以做，但两边都能改就会出现冲突，需要明确“以谁为准、多久同步一次”。
第二步是理清权限映射。企业微信的部门不等于业务系统的权限组，一个部门可能对应多个角色，一个人可能跨部门。做法是建立“部门或标签到角色”的映射表，映射表由业务方维护，IT 只负责执行，避免每次调整都要改代码。
第三步是离职与调岗的回收机制。账号打通后最大的风险是离职人员仍能访问系统。要在同步任务里处理“删除成员”事件，立即停用对应账号并保留操作痕迹；调岗则按映射表重新分配权限，不保留原部门权限。很多系统的历史权限没有被清理，就是因为缺少这一步。
第四步是外部联系人的边界。企业微信里既有内部员工也有外部客户与供应商，自建系统默认不能把外部联系人当作内部账号。若要让客户自助查询订单，应单独建客户账号体系并对接，不要混在员工目录里，否则权限模型会失控。
最后是登录体验的细节：会话有效期、免登范围、多端登录策略、异常登录提醒。这些参数直接影响安全与便利的平衡，需要按岗位分级配置，而不是全公司一套参数。
