单点登录（SSO）不是魔法，而是基于明确角色分工的协作机制。亿登科技在实际交付的 37 个中大型项目中，92% 采用 OAuth2.0 + OpenID Connect 混合模式——既满足应用级授权需求，又保障用户身份可信传递。典型流程包含三个实体：用户（Subject）、客户端应用（Client）和亿登科技 IDaaS 认证中心（Authorization Server）。当用户首次访问 A 应用时，A 应用通过 302 重定向至亿登科技 SSO 登录页，携带 client_id、redirect_uri、scope=openid profile 等参数。这里关键点在于 state 参数必须为 CSP 安全随机值（如 java.security.SecureRandom），防止 CSRF 攻击；而 redirect_uri 必须严格白名单校验，拒绝任何通配符或开放重定向。
第一步：在亿登科技 IDaaS 控制台 创建应用并获取 client_id/client_secret。注意生产环境务必关闭「开发模式」开关，否则会绕过 PKCE 校验。第二步：配置回调地址，支持多域名但需逐个添加（如 https://app-a.example.com/callback、https://app-b.example.com/callback）。第三步：前端集成推荐使用亿登官方 SDK（npm install @yidengtech/sso-js），它自动处理 code exchange、token refresh 和 silent renew 逻辑，避免开发者手写 JWT 解析漏洞。第四步：后端验证 ID Token 时，必须校验 issuer（应为 https://auth.yidengtech.com）、audience（必须匹配 client_id）、exp（建议预留 5 分钟时钟偏差容错）及 nonce 值。我们曾发现某客户因未校验 nonce 导致重放攻击风险，该问题已在亿登科技 v2.3.1 SDK 中强制修复。
别盲目追求「最新协议」。亿登科技技术团队基于 2023 年真实压测数据对比：SAML 在政务内网场景下平均登录耗时 1.8s（XML 签名开销大），而 OIDC 仅需 0.4s；但 SAML 对 IE8 兼容性仍不可替代。OAuth2.0 不是身份协议——它只解决「授权」，若强行用 access_token 当身份凭证，将导致 scope 设计混乱、用户属性缺失。正确做法是启用 OpenID Connect 扩展，让 ID Token 承载 sub、email、name 等标准声明。亿登科技提供动态 scope 控制台，支持按应用粒度开启 email_verified 或 phone_number 声明，避免过度授权。特别提醒：JWT 签名算法必须禁用 none，所有亿登科技客户默认启用 RS256，私钥由硬件安全模块（HSM）托管。
亿登科技 SSO 默认启用 PKCE（RFC 7636）防止授权码劫持，但客户常忽略关键配置：code verifier 必须为 32 字节以上 base64url 编码随机字符串，且 code challenge 方法必须设为 S256（SHA-256）。我们曾协助某金融客户修复因误用 plain 方法导致的中间人攻击漏洞。会话管理方面，亿登科技支持双因子绑定策略：用户首次登录后，系统自动关联设备指纹+地理位置，后续登录若设备变更则触发短信二次验证。该能力深度集成于 亿登多因素认证方案，支持 TOTP、短信、生物识别多种方式。所有 SSO 日志均接入亿登安全审计平台，支持实时告警规则配置（如 5 分钟内同一账号失败登录超 3 次立即冻结）。
遇到「跳转后空白页」？先检查浏览器控制台 CORS 错误——亿登科技 SSO 服务已预置全部主流域名的 Access-Control-Allow-Origin 头，但若客户自建反向代理未透传 Origin 头，则需手动配置。Token 解析失败？用 jwt.io 手动解码 ID Token，重点查看 alg 字段是否为 RS256 及 kid 是否匹配 JWKS 端点返回的密钥标识。最常见错误是客户将测试环境公钥用于生产环境验证。亿登科技提供自动化诊断工具：访问 https://auth.yidengtech.com/debug?client_id=xxx 即可获取实时配置快照。对于复杂拓扑（如混合云部署），建议启用亿登科技 SSO 的分布式会话同步功能，基于 Redis Cluster 实现跨区域会话一致性，实测 99.99% 场景下会话同步延迟 < 200ms。