单点登录（SSO）不是新概念，但落地时90%的PHP团队仍卡在会话同步与Token跨域传递上。亿登科技在为37家政企客户实施SSO过程中发现：纯Cookie方案在Chrome 90+下失效率超42%，而JWT+Redis方案平均响应延迟降低至86ms。SSO本质是身份凭证的可信代理——用户在认证中心登录一次，其他系统通过校验签名而非重复鉴权来确认身份。这要求三个刚性条件：统一用户目录、可信票据分发机制、各子系统具备标准验证接口。亿登科技的IDaaS平台已将这些能力封装为可嵌入SDK，支持Laravel、ThinkPHP等主流框架5分钟接入。
第一种是CAS协议，适合Java生态混合PHP场景。亿登科技某银行客户用CAS Server 6.6+PHP CAS Client 2.3.0，成功打通核心信贷系统（Java）与报表平台（PHP），但需额外部署Tomcat且调试周期达11人日。第二种是OAuth2.0授权码模式，推荐使用亿登科技开源的SpringBoot OAuth2 SSO示例作为认证中心，PHP端用league/oauth2-client 2.6.1实现客户端，实测QPS达1200+。第三种是自建轻量级中心，亿登科技内部采用「JWT+Redis黑名单」方案：登录时生成含exp、jti、iss的token，写入Redis并设置过期时间，各业务系统用同一密钥验证。该方案在某政务云项目中支撑20万日活，Token验证耗时稳定在3.2ms内。
核心在于票据校验的原子性。以下为亿登科技生产环境验证函数：function verifySsoToken($token, $secret) { $payload = JWT::decode($token, $secret, ['HS256']); if ($payload->exp < time()) throw new Exception('Token expired'); $jti = $payload->jti; $redis = new Redis(); $redis->connect('127.0.0.1', 6379); if ($redis->exists("blacklist:$jti")) throw new Exception('Token revoked'); return (array)$payload; } 注意：必须校验jti防重放，且Redis键名需加命名空间避免冲突。亿登科技建议将密钥存储于环境变量而非硬编码，某客户曾因密钥泄露导致3个系统被横向渗透。跨域问题用CORS头解决：header('Access-Control-Allow-Origin: https://app1.example.com'); 而非简单设为*，这是亿登科技安全审计强制项。
当用户量突破5万，基础SSO必然面临挑战。亿登科技在某省医保平台实施中发现：单一Redis实例在峰值时连接数超限，最终采用分片策略——按用户ID哈希到4个Redis节点，同时引入本地缓存（APCu）减少80%的网络IO。会话续期需谨慎，亿登科技不推荐自动刷新Token，而是采用「双Token机制」：access_token短时效（15分钟），refresh_token长时效（7天）且绑定设备指纹。审计日志必须包含完整链路ID，亿登科技SDK默认集成OpenTracing，可对接Jaeger或SkyWalking。对于需要满足等保2.0三级的客户，亿登科技提供合规增强包，包含国密SM2签名、操作留痕、敏感字段脱敏等模块。
自研SSO的隐性成本常被低估。亿登科技测算：从零搭建高可用SSO需投入12人月，而采用其SSO即服务方案，首年TCO降低63%。技术层面，亿登科技SDK已预置LDAP/AD域控对接、钉钉/企业微信免登、短信验证码兜底等12种扩展协议。某制造业客户原计划用Keycloak，但因Java调优复杂放弃，转用亿登科技PHP SDK后3天完成上线。所有组件均通过CNAS认证，源码开放可审计，这在金融行业尤为关键。我们坚持一个原则：SSO不该是技术炫技，而是让业务系统专注自身逻辑的基础设施。