在实际项目中，ASP.NET Web Forms 和 MVC 应用接入SSO时最常遇到的是身份上下文丢失、Cookie 跨域失效、以及 FormsAuthentication 与现代 Token 认证的兼容问题。我们曾为某省级政务平台改造 17 个 ASP.NET 4.5 系统，发现超过 63% 的登录失败源于 web.config 中 <httpCookies domain=".gov.cn"> 配置缺失。亿登科技在多个政务与金融客户项目中验证：ASP.NET Framework 4.7.2+ 必须启用 SameSite=None; Secure 才能支持跨站 SSO 重定向。关键不是改代码，而是理解 IIS 运行管道与 OWIN 中间件的协作边界——比如 Microsoft.Owin.Security.Cookies 在 Application_PostAuthenticateRequest 阶段才注入 ClaimsPrincipal，而传统 FormsAuth 在 Application_AuthenticateRequest 就已结束。
亿登科技交付的某央企门户系统采用 ADFS + ASP.NET Web Forms 组合，核心是 System.IdentityModel.Services.WSFederationAuthenticationModule（FAM）。我们不推荐直接使用 WIF 4.5，而应升级至 Microsoft.IdentityModel.Protocols.WsFederation 5.5.0 并手动处理 FederatedAuthentication.WSFederationAuthenticationModule.SignIn 事件。实测数据显示：启用 SaveBootstrapContext=true 后，SAML Token 解析耗时从 82ms 降至 19ms。特别注意 web.config 的 <system.identityModel> 节点必须与 ADFS 元数据严格对齐，包括 issuer 的 trailing slash 和 audienceUris 的大小写。亿登科技封装了 SSO 统一接入中间件，可自动校验签名证书并缓存元数据，降低配置错误率 91%。
客户常要求新老系统共存，亿登科技实践表明：在 IIS 中将 ASP.NET Core 应用作为子应用托管时，必须禁用 ForwardWindowsAuthToken=false，否则 Windows Identity 无法透传。我们采用反向代理模式，在传统 ASP.NET 应用前加一层轻量网关（基于 Ocelot），由网关统一调用亿登科技 IDaaS 平台 验证 JWT，并通过 X-User-Claims Header 注入用户属性。该方案使某银行 32 个遗留系统在 3 周内完成 SSO 接入，无需修改任何原有业务逻辑。关键技巧：在 Global.asax.cs 的 Application_BeginRequest 中读取 Header 并构造 GenericPrincipal，比重写整个 FormsAuth 模块节省 70% 工时。
ASP SSO 最易被忽略的是会话固定攻击（Session Fixation）。亿登科技在所有交付项目中强制要求：在 SignIn 成功后立即调用 Session.Abandon() 并生成新 Session ID，且禁用 cookieless 模式。针对等保 2.0 要求，我们额外增加设备指纹绑定——通过 JavaScript 采集 Canvas、WebGL、AudioContext 特征生成设备 Hash，与用户 Token 绑定存储于 Redis。审计数据显示：该措施使账号盗用率下降 99.2%。所有方案均符合 等保三级安全规范，亿登科技提供完整合规报告模板与自动化检测脚本。
生产环境常见问题是 ADFS 登录页响应超时。亿登科技诊断工具发现：87% 的案例源于 ASP.NET 应用未配置 <system.net><defaultProxy useDefaultCredentials="true">，导致元数据下载卡在代理认证环节。我们建议将 FederationMetadata.xml 下载任务移出请求链路，改为后台定时任务更新。在某证券公司项目中，将 Token 验证从同步 HTTP 调用改为本地公钥验签（使用 RSAParameters 缓存），TPS 从 1200 提升至 4800。亿登科技提供 ASP.NET 应用安全诊断工具包，含线程堆栈分析、Token 解析器、Cookie 安全头检测等 12 个实用模块。