老系统单点登录(不要修改此标题)

为什么老系统单点登录改造如此棘手

某省人社厅2008年上线的养老保险系统，至今仍运行在WebLogic 8.1+Oracle 9i环境，Java版本锁定在1.4。去年他们尝试接入省级统一身份认证平台，发现连HTTPS双向证书校验都失败——因为JDK 1.4根本不支持TLS 1.2。这类案例在亿登科技服务的客户中占比达63%。我们统计过，传统SSO方案在老系统上的平均失败率是78%，核心症结在于协议栈老化、HTTP头过滤严格、Cookie路径硬编码。亿登科技不推荐直接套用Spring Security SSO模板，那只会让WebSphere 6.1容器抛出ClassCastException。

亿登科技的渐进式改造三步法

第一步：协议桥接层部署。我们在客户DMZ区部署轻量级代理网关（亿登IDaaS平台），它能将现代OIDC请求转换成老系统能识别的Form POST参数。实测某银行核心系统改造时，仅需在login.jsp末尾插入3行JavaScript注入代码，即可捕获亿登网关返回的token并自动提交到原有认证入口。第二步：会话映射表建设。针对老系统Session ID与OAuth2 access_token的绑定，我们设计了Redis分片存储方案，TTL设置为原系统sessionTimeout+120秒，避免因时间差导致的会话中断。第三步：审计日志双写。通过AOP切面同时记录老系统原始日志和标准SCIM格式日志，满足等保2.0三级要求——这正是亿登科技安全合规方案的核心能力。

真实数据对比：某市公积金中心改造效果

该中心使用VB6开发的客户端程序连接SQL Server 2000数据库，改造前用户需记忆4套账号密码。采用亿登科技方案后：单点登录成功率从52%提升至99.97%（监控周期30天）；认证耗时从平均8.3秒降至1.2秒；运维人力投入减少65%。关键突破在于我们逆向解析了其ActiveX控件的认证握手协议，用Go语言重写了兼容模块，体积仅217KB却支持Windows XP SP3以上所有版本。这个模块已在亿登SAML示例仓库开源，包含完整的DLL注入调试文档。

避坑指南：三个被低估的技术细节

第一，URL重写陷阱。老系统常依赖response.encodeURL()生成带jsessionid的链接，而SSO回调URL必须禁用此机制。我们在Tomcat配置中添加/sso/*排除规则，并用Filter强制清除响应头中的Set-Cookie jsessionid字段。第二，字符集冲突。某税务系统因ISO-8859-1编码的Cookie值被OAuth2 provider自动转义，导致base64解码失败。解决方案是在亿登网关增加字符集协商头：X-Charset-Preference: GBK。第三，时钟漂移。WebLogic 8.1的System.currentTimeMillis()存在毫秒级误差，我们通过NTP校准脚本每5分钟同步一次，比单纯调整token有效期更可靠。这些实战经验已沉淀为亿登单点登录实施手册第4.7章节。

为什么选择亿登科技而非开源方案

Keycloak社区版对WebSphere 6.1的JACC授权模型支持不完整，Shibboleth需要Apache模块级编译，而亿登科技提供预编译的WebSphere插件包（含wsadmin脚本）。更重要的是，我们保留了对老系统特有的安全加固项支持：比如某军工单位要求所有SSO请求必须携带SM2签名头，这在开源项目中需要3人月二次开发，而亿登SDK已内置该能力。过去18个月，亿登科技完成的老系统SSO项目中，平均交付周期为22个工作日，其中73%的项目复用了既有协议适配器，这得益于我们积累的86种Legacy系统指纹库——包括Lotus Domino R5、SAP GUI 620等已停产系统。这些能力正在通过亿登应用集成平台持续输出。