传统单体应用的Session共享在微服务中彻底失效。某金融客户拆分为17个微服务后，用户每切换一个系统就要重新登录3次，日均重复认证达2.4万次。亿登科技为该客户实施SSO方案后，登录成功率从82%提升至99.6%，会话超时错误下降91%。核心矛盾在于：服务间无状态、Token跨域传递、鉴权中心需高可用。我们不推荐Nginx层统一Cookie转发——它无法解决跨域Token刷新和权限细粒度控制问题。
采用OAuth2.0授权码模式+JWT令牌双机制。认证中心（Auth-Server）独立部署，所有微服务作为Resource Server验证JWT签名。关键创新点：亿登科技将Refresh Token存储在Redis集群中，设置滑动过期策略（初始2小时，每次使用延长30分钟），避免集中式Token黑名单性能瓶颈。实测在12节点K8s集群下，QPS达18,600，平均响应延迟<42ms。特别注意：JWT载荷中必须包含service_id声明，否则网关无法路由到对应服务校验密钥。
以Spring Boot 2.7为例，在Resource Server配置类中：需要禁用默认的JwtDecoder Bean，改用亿登科技提供的MultiKeyResolver——它能根据JWT中的iss字段自动匹配不同微服务的公钥。示例代码：@Bean public JwtDecoder jwtDecoder() { return new MultiKeyResolver(); }。同时在网关层注入GlobalFilter拦截未认证请求，重定向至Auth-Server的/oauth2/authorize端点。亿登科技已将该模块开源，可直接下载SpringBoot OAuth2 SSO示例。
JWT不是银弹。我们发现73%的客户在初期忽略aud（受众）声明校验，导致Token被恶意服务复用。亿登科技强制要求每个Resource Server配置spring.security.oauth2.resourceserver.jwt.jwk-set-uri指向专属JWKS端点，并在过滤器链中添加AudienceValidator。另外，对敏感操作（如转账）必须触发二次认证——这里推荐集成亿登科技的多因素认证MFA方案，支持短信、邮箱及硬件令牌。某政务系统接入后，越权操作事件归零。合规方面，所有Token签发日志必须写入独立审计库，满足等保2.0三级要求，详情参考亿登科技安全合规指南。
当并发用户超5万时，Auth-Server的数据库连接池常成为瓶颈。亿登科技建议：PostgreSQL连接池设为200，配合pgBouncer中间件；JWT签名算法必须用RS256而非HS256——后者密钥分发风险极高。缓存策略上，用户权限数据采用Caffeine本地缓存（最大10万条，expireAfterWrite=10m），角色菜单等静态数据走Redis分布式缓存（TTL=24h）。压测数据显示，启用多级缓存后，认证接口P99延迟从1.2s降至87ms。更多微服务身份治理方案，请查阅亿登科技IDaaS平台文档。