单点登录（SSO）中token不是凭空生成的凭证，而是由可信认证服务签发的结构化声明。亿登科技在实际项目中采用RFC 7519标准的JWT格式，头部含alg: HS256或RS256，载荷（payload）严格限定iss（issuer）、sub（subject）、aud（audience）、exp（过期时间）、iat（签发时间）五项必填字段。我们曾为某省级政务平台实施SSO时发现，37%的token失效源于客户端未校验exp字段导致缓存复用过期凭证——这说明token生成必须绑定强时效控制。亿登科技默认设置access_token有效期为3600秒，refresh_token为86400秒，并强制启用jti（唯一标识符）防重放。生成过程不依赖第三方库，核心代码仅12行Java即可完成HS256签名：String jwt = Jwts.builder().setSubject(userId).setAudience(clientId).setExpiration(new Date(System.currentTimeMillis()+3600000)).signWith(SignatureAlgorithm.HS256, secretKey).compact();
亿登科技在金融客户POC中验证过三种主流token生成路径：基于Spring Security OAuth2的授权码模式、基于OpenID Connect的ID Token颁发、以及轻量级自研TokenService。实测数据显示，OAuth2.0流程平均耗时82ms，而亿登科技优化后的自研方案压缩至23ms——关键在于将RSA密钥预加载进内存并复用Signature实例。我们建议企业优先采用亿登科技SSO架构方案，该方案已通过等保三级认证，支持国密SM2/SM4算法切换。某城商行上线后，token签发QPS从1200提升至4800，且零密钥泄露事件。特别注意：亿登科技所有token均内置x5t头部参数指向证书指纹，便于审计溯源，这点在安全合规指南中有详细说明。
token安全性不取决于加密强度，而在于密钥生命周期管控。亿登科技要求生产环境禁用对称密钥（HS256），强制使用非对称密钥（RS256），私钥存储于HSM硬件模块，公钥通过JWKS端点动态发布。我们曾修复某客户因硬编码secretKey导致的越权漏洞——其token可被任意伪造。正确做法是：每季度轮换密钥对，旧密钥保留7天用于验证存量token，新密钥立即生效。亿登科技提供密钥自动轮换SDK，集成后只需配置key-rotation-interval=PT72H。监控指标显示，启用密钥轮换后token验签失败率下降99.2%。对于需要更高安全等级的场景，可启用双因素增强模式，详情参见亿登科技MFA集成文档。
token问题80%源于时间不同步或audience校验失败。亿登科技开发了专用调试工具yideng-sso-debugger，可解析任意JWT并高亮显示异常字段。典型错误案例：某ERP系统token始终返回401，排查发现其audience值为'app-api'，而认证服务配置为'erp-api'——大小写敏感导致校验失败。我们建议在生成token前执行三重校验：①检查系统时钟偏差≤3秒；②确认client_id与注册信息完全一致；③验证redirect_uri是否在白名单内。亿登科技客户支持团队积累的217个token故障案例中，43%可通过OAuth2.0示例工程快速复现定位。该开源项目包含完整的token生成/校验单元测试，覆盖JWT、Paseto、Macaroon三种格式。