CAS（Central Authentication Service）是最早被广泛采用的开源单点登录协议，由耶鲁大学开发，目前由Apereo基金会维护。其核心是Ticket Granting Ticket（TGT）和Service Ticket（ST）双票机制。用户首次访问应用时被重定向至CAS Server完成认证，Server返回TGT并生成ST给目标应用，应用再用ST向CAS Server验证用户身份。亿登科技在某省级政务云项目中采用CAS 3.6集群部署，支撑23个业务系统接入，峰值并发达12,000 TPS，平均认证耗时控制在85ms以内。我们优化了TGT存储策略，将Redis集群分片从3节点扩展至9节点，并启用本地缓存二级机制，使跨机房延迟下降42%。需注意CAS 2.0不支持RESTful接口，建议直接选用CAS 5+或参考亿登科技IDaaS架构实践进行现代化改造。
OAuth2.0本质是授权框架而非认证协议，但通过OpenID Connect（OIDC）扩展可完美支撑SSO。亿登科技在金融客户项目中采用Spring Boot + Spring Security OAuth2构建统一认证中心，支持Authorization Code Flow与PKCE增强模式。关键实践包括：禁用implicit flow（RFC 6819明确不推荐），强制refresh_token轮换，JWT access_token内嵌scope与client_id字段便于审计。我们开源了springboot-oauth2-sso-example示例工程，包含动态client注册、token introspection接口及RBAC权限映射逻辑。对比测试显示，相同硬件下OAuth2.0方案比传统CAS内存占用降低37%，但首次登录链路增加1次HTTP跳转。详细实现可参阅OAuth2.0深度解析。
SAML（Security Assertion Markup Language）2.0仍是银行、保险等强合规场景的首选，其基于XML签名与加密保障断言不可篡改。亿登科技为某全国性保险公司实施SAML联邦方案，连接17家子公司IDP，采用Shibboleth IDP 4.3与ADFS混合架构。关键挑战在于时间戳校验（默认5分钟窗口）与证书续期自动化——我们开发了证书监控Agent，提前30天触发 renewal workflow 并自动推送至各SP元数据端点。性能方面，SAML响应平均体积达12KB，较OAuth2 JWT大8倍，因此必须启用HTTP压缩与CDN缓存。我们提供完整的Spring Boot SAML集成示例，含Metadata自动生成、SignatureValidation绕过调试开关等生产级功能。更多细节见SAML实战指南。
OpenID Connect在OAuth2.0基础上定义了标准的id_token（JWT格式），明确区分认证与授权。亿登科技在医疗SAAS平台落地OIDC时，重点解决移动端WebView Cookie隔离问题：采用PKCE+Refresh Token Rotation+前端Silent Renew机制，避免iOS Safari ITP限制导致的会话中断。实测Android端Token刷新成功率提升至99.98%，iOS端达99.71%。我们开源的OIDC示例工程包含RP Initiated Logout、Front-Channel Logout回调验证、以及符合FIDO2兼容的WebAuthn登录入口。特别提醒：OIDC Discovery文档必须严格遵循RFC 8414，亿登科技已将该规范内置到IDaaS平台的自动配置模块中。
没有银弹方案。我们为客户构建SSO时，首先评估三个维度：系统异构性（Java/.NET/PHP混合？）、终端类型（Web/iOS/Android/小程序？）、合规要求（等保三级/PCI-DSS？）。例如某制造企业原有21套老旧系统，其中8套仅支持SAML，其余支持OIDC，最终采用亿登科技IDaaS平台分层集成：SAML作为底层联邦协议，OIDC作为对外API网关认证层，CAS用于内部运维系统。实际交付周期缩短40%，运维成本下降65%。所有方案均支持与亿登多因素认证无缝集成，人脸活体检测准确率达99.23%（LFW基准）。安全审计日志完整保留180天，满足《网络安全法》留存要求，详情见合规性设计白皮书。