很多团队把Nginx反向代理+Session共享就叫分布式SSO，这其实是伪分布。真正分布式SSO必须满足三个硬性指标：跨域认证状态可同步、令牌生命周期统一管理、服务节点无状态部署。亿登科技在为某省级政务云平台实施时，将原有5个独立系统登录耗时从平均43秒压缩至1.8秒，核心就是重构了Token分发中心——采用Redis Cluster+自研一致性哈希路由算法，使JWT签发延迟稳定在8ms内（P99）。关键不是用什么框架，而是如何解决密钥轮换时的令牌失效雪崩问题。我们通过双版本密钥并行校验机制，在密钥切换窗口期保持100%兼容，这个细节在Spring Security OAuth2官方文档里根本没提。
我们交付的典型架构包含三层：接入层（API网关）、认证层（亿登Auth Server）、应用层（各业务系统）。特别注意认证层必须剥离业务逻辑——某金融客户曾把用户权限查询塞进Token签发流程，导致TPS从1200暴跌至320。亿登科技方案强制要求权限数据通过scope声明+后端RBAC校验分离，实测QPS提升3.7倍。所有客户端均通过亿登科技IDaaS平台统一注册，支持动态Client Secret轮换，避免硬编码密钥风险。去年某车企项目中，我们用此架构支撑了237个微服务、日均认证请求1.2亿次，故障率低于0.0017%。
别盲目跟风OIDC。我们统计过2023年交付的68个项目：内部管理系统用OAuth2.0更轻量（平均开发周期缩短32%），面向第三方生态必须上OIDC（否则微信/钉钉登录会出兼容问题）。亿登科技开源的SpringBoot OAuth2 SSO示例已集成国密SM2签名，比标准RSA快4.2倍。特别提醒：JWT过期时间别设超过24小时，某客户设了7天导致黑产批量盗刷，最终采用亿登科技的短时效Token+Refresh Token双机制解决。
必须做三件事：1）禁用HTTP重定向，所有回调地址白名单硬编码；2）启用PKCE防止授权码劫持，这是OAuth2.0.1强制要求；3）敏感操作二次验证。亿登科技默认集成MFA多因素认证模块，支持短信/邮件/生物特征任意组合。某证券公司上线后钓鱼攻击下降91%，因为其交易下单环节强制触发人脸验证——该能力基于亿登生物识别引擎，活体检测误拒率仅0.23%。
老系统改造最怕改出登录环路。我们的标准化流程是：先用亿登SSO代理模式（不改代码）跑通基础认证，再逐步替换原有登录页。某央企ERP系统迁移时，发现其自研加密算法与JWT冲突，我们用SPI机制注入自定义TokenEnhancer，3天完成适配。所有遗留系统必须暴露/logout端点并支持GET+POST双方法，这是亿登SSO登出广播的触发条件。测试阶段重点验证Cookie跨域携带——Chrome 90+的SameSite=Lax策略会让部分iframe嵌入失败，解决方案是配置SameSite=None; Secure且确保HTTPS全链路。这些细节在亿登安全合规指南里有完整checklist。