<Attribute Name="groups" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic"> <AttributeValue>sales_manager</AttributeValue> </Attribute>
在 IdP 里把张工的组从 sales 改成 sales_manager，SAML 断言里 groups 已经是新值，登录后系统里角色还是 sales。退出重登 3 次都没变，日志里断言解析显示成功。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：断言解析只取了 NameID 用来认人，groups 属性没有映射到本地角色。本地角色还是首次登录时手工分配的那一条，之后没有更新过。
这次卡住的地方就在「SSO 角色未同步」这一环，单独把它拎出来验证，别和其他改动混在同一次发布里。监控和日志的时间要对上，时区不一致会多绕很大一圈。
临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。
处理上按这个顺序：在 SP 侧配置 groups 到本地角色的映射表；每次登录按断言重算角色 覆盖而不是追加；映射缺失时落到最小权限角色 并记一条告警。
确认没问题再收工，张工重新登录后角色显示 sales_manager，权限列表里多了审批菜单。