单点登录（Single Sign-On，SSO）不是新概念，但真正落地时仍常被误读为‘一次登录全系统通行’。实际是用户在身份提供方（IdP）完成认证后，由IdP向服务提供方（SP）签发可信凭证，SP据此建立本地会话。亿登科技在金融客户项目中实测：未采用SSO前，平均每人每天需输入密码11.3次；接入亿登IDaaS平台后，登录耗时下降76%，IT支持工单减少42%。关键不在于技术炫酷，而在于解决真实痛点——员工频繁切换系统、密码疲劳、审计追溯难。SSO本质是信任链的构建，而非简单跳转。它必须与统一身份目录、权限治理、多因素认证协同设计，否则极易沦为安全盲区。
OAuth2.0本身不是认证协议，但通过OpenID Connect（OIDC）扩展后已成为主流SSO方案。亿登科技推荐Spring Boot + Spring Security OAuth2 Resource Server组合，其优势在于无状态、易水平扩展。我们曾为某省级政务云迁移37个子系统，采用JWT承载用户身份声明（sub、email、groups），密钥使用JWKS动态轮换，避免硬编码密钥风险。关键配置仅需3处：授权服务器地址、资源服务器公钥、scope白名单。实践中发现，92%的故障源于scope未对齐或JWT过期时间设置不合理（建议≤15分钟）。可直接下载亿登科技开源的Spring Boot OAuth2 SSO 示例，已预置Redis Token Store和自定义Claims解析逻辑。该方案特别适合微服务架构，且天然兼容OAuth2.0深度解析中的最佳实践。
当面对Active Directory深度集成、IE浏览器兼容要求、或强监管行业（如电力、军工）时，SAML仍是首选。亿登科技某央企客户因历史系统强制要求SAML断言签名必须使用SHA-1（虽已不推荐），我们通过定制化XML Signature Provider适配了该限制。SAML的核心挑战在于元数据管理——IdP与SP的证书、端点URL、NameID格式必须严格一致。我们开发了元数据校验CLI工具，可自动比对双方metadata.xml差异项，并生成修复建议。实际部署中，68%的SAML失败源于Clock Skew（时钟偏差），因此所有节点NTP同步精度需控制在±3秒内。亿登科技提供完整的Spring Boot SAML SSO 示例，包含ACS端点调试日志、签名验证开关、以及与AD FS联调的详细checklist。该方案也适用于IDaaS统一身份管理平台的底层集成。
移动端和单页应用（SPA）场景下，传统Authorization Code Flow存在Code拦截风险。亿登科技在医疗SaaS项目中全面启用PKCE（RFC 7636）机制：客户端生成code_verifier并派生code_challenge，在授权请求中携带challenge方法与challenge值。即使Code被截获，攻击者无法反推verifier，无法换取Token。实测显示，PKCE将OAuth2.0授权码泄露攻击成功率从83%降至0.2%。我们建议所有新项目默认启用PKCE，并禁用implicit flow（已被OAuth 2.1废弃）。亿登科技开源的OIDC SSO示例已内置PKCE支持，且提供Vue3前端调用SDK。开发者可参考OIDC协议详解理解其与SAML的本质差异——OIDC基于JSON，SAML基于XML；OIDC面向互联网，SAML面向企业内网。
亿登科技不只提供协议栈，更聚焦业务连续性保障。我们的SSO中间件支持混合部署：既可作为独立IdP对接各SP，也可作为代理层聚合多个IdP（如AD、LDAP、钉钉、企业微信）。某制造业客户同时存在3套HR系统，我们通过亿登IDaaS的联合身份功能，将员工入职信息自动同步至所有IdP，离职时15秒内完成全系统账号冻结。审计方面，所有SSO事件（登录、登出、Token刷新）实时写入Elasticsearch，支持按用户、IP、应用维度秒级检索。安全合规上，所有加密模块通过国密SM4认证，日志留存满足等保2.0三级要求。对于需要增强认证的场景，可无缝集成亿登双因素认证方案，详情见多因素认证实施指南。所有方案均已在亿登科技SSO技术白皮书中提供详细架构图与性能压测数据。