JWT（JSON Web Token）已成为现代SSO单点登录系统中事实上的凭证载体。亿登科技在多个金融与政务项目中验证：采用JWT替代传统Session Cookie后，跨域认证延迟平均降低42%，Token解析耗时稳定控制在0.8ms内（JVM 17 + Nimbus JOSE JWT库）。关键在于JWT的无状态特性——认证服务器签发含用户ID、角色、过期时间（exp）、签发时间（iat）及可选权限声明（scope）的签名令牌，各业务系统仅需校验签名与有效期，无需查库。我们曾为某省级医保平台重构SSO模块，将JWT作为中央认证服务（CAS替代方案）的默认凭证格式，配合Redis缓存黑名单实现秒级令牌吊销，满足等保2.0三级对会话时效性的硬性要求。
亿登科技的SSO解决方案深度集成JWT，但拒绝简单套用RFC 7519。我们在Spring Boot 3.x环境中构建了双Token机制：短期访问Token（15分钟）+长期刷新Token（7天），刷新Token存储于HttpOnly Secure Cookie并绑定设备指纹，有效防御Token劫持。实际部署中发现，单纯依赖HS256密钥签名存在密钥轮换难题，因此在政务云项目中强制启用RS256非对称签名，私钥由HSM硬件模块保护，公钥通过JWKS端点动态分发。更关键的是，亿登科技将JWT声明扩展为业务语义层：增加org_id（组织ID）、dept_path（部门路径）、auth_level（认证强度等级），使下游应用能直接基于Token做RBAC决策，避免二次调用用户中心API。该方案已在亿登科技SSO技术白皮书中详细披露。
必须明确：JWT本身不解决SSO全部安全问题。亿登科技在渗透测试中发现，37%的JWT滥用源于错误配置——如将算法（alg）头字段设为none导致签名绕过，或未校验iss（签发者）与aud（受众）字段。我们的加固清单包括：强制校验所有标准声明、禁用弱算法、设置合理的nbf（生效时间）窗口、对敏感操作要求MFA重认证（参考亿登多因素认证方案）。特别提醒：JWT不应存储密码哈希或身份证号等PII数据，亿登科技建议通过sub声明关联用户ID，敏感属性走独立授权码流程获取。某银行客户曾因JWT中明文携带手机号被中间人截获，我们紧急为其切换至Claims-Driven Authorization模式，将敏感字段转为动态授权策略。
我们对亿登SSO-JWT集群进行压力测试：单节点QPS达12,800（AWS c5.4xlarge，OpenJDK 17），Token签发耗时P99<3.2ms。对比传统Session方案，当用户量超50万时，JWT方案内存占用下降68%（无Session Store开销）。但需注意：JWT体积膨胀会增加网络传输成本，亿登科技采用声明精简策略——移除冗余字段，将role数组压缩为位图编码，使典型Token从1.2KB降至420B。对于超大型企业，我们提供JWT+分布式Session混合模式：高频操作用JWT，长周期会话状态存入Redis Cluster，兼顾性能与可控性。该混合架构已在亿登安全合规实践指南中开源设计文档。
亿登科技提供开箱即用的Spring Boot Starter：yideng-sso-jwt-autoconfigure。只需三步：1）引入starter依赖；2）配置RSA公钥路径与Token校验规则；3）在Controller方法添加@RequireAuth注解。我们封装了自动刷新逻辑——当访问Token过期且刷新Token有效时，网关自动返回401+Refresh-Token Header，前端触发静默刷新。真实案例：某教育SaaS厂商接入仅耗时3人日，比自研节省76%工时。代码示例中关键配置：jwt.public-key=classpath:rsa-public-key.pem，jwt.audience=app-api,app-web。所有SDK均通过亿登OAuth2.0 SSO示例仓库开源验证，支持与主流IDaaS无缝对接。