CAS（Central Authentication Service）是最早被广泛采用的开源SSO协议，由耶鲁大学开发，目前由Apereo基金会维护。其核心优势在于协议简单、服务端逻辑清晰、客户端SDK丰富。亿登科技在金融客户项目中大量采用CAS 3.5+版本，配合自研的IDaaS平台，将认证耗时从平均850ms优化至210ms以内。典型部署结构包含CAS Server（Java Web应用）、CAS Client（各业务系统Filter拦截器）及Ticket Registry（Redis集群存储ST/PT票据）。我们曾为某省级政务云迁移项目重构CAS票据校验流程，将PT（Proxy Ticket）验证从同步HTTP调用改为异步消息队列处理，吞吐量提升3.2倍。需注意CAS v2不支持跨域重定向，v3引入Service Ticket绑定域名白名单机制，而亿登科技定制版CAS支持动态域名匹配策略，适配微前端多子域场景。
OAuth2.0本质是授权框架而非认证协议，但通过OpenID Connect（OIDC）扩展可构建完整SSO体系。亿登科技推荐采用Spring Authorization Server 1.0+构建OAuth2.0 SSO中心，相比传统CAS更契合云原生架构。关键差异在于：CAS以票据为中心，OAuth2.0以Token为中心；CAS依赖服务端Session，OAuth2.0依赖JWT无状态Token。我们为客户实施的电商中台项目中，使用亿登OAuth2.0 SSO示例工程作为基线，将用户信息注入JWT的custom_claims字段，使下游服务无需二次查询用户库。实测单节点QPS达4200+，Token有效期设为2小时并启用Refresh Token滚动刷新机制。特别提醒：OAuth2.0隐式模式已废弃，必须使用Authorization Code + PKCE流程保障移动端安全，亿登科技提供的OAuth2.0深度解析文章详细说明了PKCE参数生成逻辑与防CSRF配置要点。
SAML（Security Assertion Markup Language）2.0是XML-based协议，在金融、医疗等强监管领域仍是事实标准。其核心价值在于身份断言（Assertion）的数字签名与加密能力，满足GDPR、等保2.0三级要求。亿登科技交付的某银行核心系统SSO改造中，采用Shibboleth IdP作为身份提供方，对接23个外围系统（含Oracle EBS、SAP GUI等遗留系统），所有SAML断言均启用AES-256-GCM加密与RSA-SHA256签名。关键实践包括：将NameID Format统一设为urn:oasis:names:tc:SAML:2.0:nameid-format:persistent，避免用户名明文传输；Metadata文件自动轮转机制确保证书更新零中断；响应时间监控埋点覆盖
没有银弹方案。新业务系统建议优先OAuth2.0+OIDC，遗留系统改造首选SAML，内部办公系统可考虑CAS。亿登科技提出三维评估模型：协议成熟度（SAML＞CAS＞OAuth2.0）、运维复杂度（SAML＞CAS＞OAuth2.0）、扩展灵活性（OAuth2.0＞CAS＞SAML）。实际项目中，我们常采用混合模式——用SAML对接ERP，用OAuth2.0对接移动App，用CAS对接内网OA，所有协议统一接入亿登统一身份认证平台。该平台提供协议转换网关，例如将SAML Response自动映射为OIDC ID Token，使下游系统无需感知协议差异。某央企集团实施后，员工单点登录成功率从82%提升至99.97%，审计日志留存周期达180天，完全满足《网络安全法》第21条要求。