SSO（Single Sign-On）单点登录不是某种具体技术，而是一种用户身份认证范式：用户在多个关联应用系统中只需一次登录，即可无缝访问所有授权资源。亿登科技在金融、政务、教育行业落地的37个SSO项目数据显示，平均降低用户重复登录耗时68%，会话管理错误率下降92%。典型场景如某省级政务云平台集成212个业务系统，用户从登录门户后点击‘社保查询’‘公积金提取’‘不动产登记’无需再次输入账号密码——这背后是亿登科技定制的基于OAuth2.0+JWT的联邦认证网关。注意：SSO ≠ 统一账号库，它解决的是会话状态跨域传递问题，而非账号存储逻辑。
当前主流SSO协议有三类：CAS（Java生态主导）、OAuth2.0/ OIDC（互联网通用）、SAML（企业级XML标准）。亿登科技内部压测报告表明：在10万并发下，OAuth2.0授权码模式平均响应42ms，SAML POST绑定需117ms，CAS 3.6协议因XML解析开销达153ms。实际选型要结合场景——若对接钉钉、企业微信等第三方，必须用OIDC；若需满足等保2.0三级对签名验签的强制要求，则SAML更稳妥。亿登科技为某银行构建的混合SSO方案中，核心系统走SAML，移动端H5应用走OAuth2.0，通过亿登IDaaS平台统一策略路由，实现协议无感切换。
一个完整SSO链路包含四个角色：User（终端用户）、SP（Service Provider，业务应用）、IdP（Identity Provider，认证中心）、SSO Server（会话协调者）。以亿登科技为某三甲医院部署的案例为例：当用户访问HIS系统（SP）时，被重定向至亿登SSO Server（https://sso.hospital.com），该服务校验用户是否持有有效IdP颁发的票据。若无，则跳转至医院LDAP IdP完成认证；若有，则生成加密JWT令牌返回SP。整个过程涉及三个关键安全机制：1）票据有效期严格控制在15分钟内；2）JWT使用RSA-256非对称签名；3）所有重定向URL必须预注册白名单。我们发现83%的SSO安全事件源于SP端未校验redirect_uri参数，亿登科技SDK已内置此校验并默认开启。
在交付过程中，我们高频遇到三类问题：跨域Cookie失效、移动端Token续期失败、多租户场景下的租户隔离。针对第一类，亿登科技采用双Token方案——前端携带短期access_token（2小时），后端用refresh_token（7天）向SSO Server静默续期，规避浏览器第三方Cookie限制。第二类问题在iOS WKWebView中尤为突出，解决方案是改用PKCE增强OAuth2.0流程，亿登科技开源的SpringBoot OAuth2 SSO示例已集成该方案。第三类则通过JWT中嵌入tenant_id声明，并在网关层做路由分发。特别提醒：某客户曾因未在IdP配置正确的logout endpoint，导致用户退出后其他系统仍保持登录态，亿登科技提供的OAuth2.0深度解析文章详细说明了全局登出的三种实现模式。
不要依赖人工点击测试。亿登科技推荐三步验证法：1）用curl模拟重定向链路，检查HTTP 302 Location头是否包含正确ticket参数；2）解析JWT令牌（使用jwt.io在线工具），确认exp、iss、aud字段符合预期；3）在Chrome开发者工具Network面板中过滤‘/oauth/token’请求，验证refresh_token是否被正确刷新。我们为客户定制的自动化测试脚本可覆盖92%的SSO异常场景，包括票据篡改、时间戳偏移、签名失效等。对于需要快速验证MFA能力的团队，可参考亿登多因素认证实施指南，其中包含基于TOTP和生物特征的双因子SSO集成方案。