feat(idp): add keycloak-first support with authentik fallback

docs/ARCHITECTURE.md

@@ -13,13 +13,13 @@
 ## 後台安全線
 - 所有 `/admin/*` 需 Bearer token
 - 後端僅依 `ADMIN_REQUIRED_GROUPS` 判定可否進後台
-- 不在群組就算有網址、有 Authentik 帳號也會 403
+- 不在群組就算有網址、有 IdP 帳號也會 403
 
-## 會員資料與 Authentik 對齊
+## 會員資料與 IdP 對齊（Keycloak 優先）
 - `username`：登入帳號（可編輯，可同步）
-- `display_name`：顯示名稱（可編輯，可同步到 Authentik `name`）
-- `user_sub`：由 Authentik UID 回寫
-- `idp_user_id`：保留 Authentik user id，供更新/密碼重設
+- `display_name`：顯示名稱（可編輯，可同步到 IdP profile）
+- `user_sub`：由 IdP 主體識別值回寫
+- `idp_user_id`：保存 IdP 端 user id（字串），供更新/密碼重設
 
 ## 密碼流程
 - 目前：後台可觸發重設密碼（產生臨時密碼）