更新

go/controllers/auth/oidc.go

@@ -550,7 +550,9 @@ func exchangeCode(code, verifier, clientID string) (*authsvc.TokenPair, *jwtutil
 		Tid:        stored.Tid,
 		ClientID:   clientID,
 		Sid:        session.Sid,
-		UserType:   "tenant",
+		// 不指定 UserType：由 IssueTokens 按应用编码给出 backend / app。
+		// 这里曾硬编码 "tenant"，而业务接口只认 backend/app，导致换码签出的首张令牌
+		// 被 /backend/modules/getTenantList 等判为「无权访问」（续期路径本来就不传，故会自愈）。
 		Amr:        authsvc.AmrPwd,
 		AccessTTL:  accessTTL,
 		RefreshTTL: refreshTTL,