单点登录（Single Sign-On，简称SSO）是一种身份认证机制，允许用户在一次登录后，无需重复输入凭证即可访问多个相互信任的应用系统。它不是某种协议，而是一类架构模式的统称，核心价值在于降低用户密码疲劳、提升操作效率、集中管控权限。以某省政务云平台为例，接入SSO前，工作人员需分别记忆12个业务系统的账号密码，平均每次切换系统耗时47秒；启用亿登科技提供的SSO方案后，登录耗时降至1.8秒，年均减少重复认证操作超230万次。SSO背后依赖的是可信的身份提供方（IdP）与服务提供方（SP）之间的安全断言交换，常见协议包括SAML、OAuth2.0和OIDC。亿登科技在金融、教育、政务领域已交付186套SSO集成项目，平均上线周期压缩至9.3个工作日。
OAuth2.0是当前最主流的SSO授权框架之一，其典型流程包含四个角色：资源所有者（用户）、客户端（前端应用）、授权服务器（如亿登IDaaS平台）、资源服务器（后端API）。当用户点击‘微信登录’按钮时，前端跳转至授权服务器地址，携带client_id、redirect_uri、scope等参数；用户完成身份验证后，授权服务器返回临时code；前端用code向授权服务器换取access_token；后续请求携带该token访问各受保护资源。亿登科技开源的SpringBoot OAuth2 SSO示例完整复现了这一链路，支持JWT签名验签、动态scope授权、refresh_token自动续期。实测数据显示，在QPS 3200压力下，令牌签发延迟稳定在18ms以内，错误率低于0.0017%。该方案已在某全国性银行信用卡中心落地，支撑日均560万次跨系统跳转。
企业落地SSO常面临三大硬伤：遗留系统改造成本高、多协议兼容难、安全审计不闭环。某三甲医院曾因HIS系统仅支持SAML 1.1而卡在集成阶段，亿登科技通过协议网关层将SAML 1.1请求转换为OIDC标准调用，复用原有证书体系，两周内完成对接。针对混合云场景，亿登IDaaS提供轻量级代理组件yideng-sso-agent，可部署于本地机房，无需改造源码即可注入统一登录入口。所有认证日志实时同步至亿登安全合规中台，满足等保2.0三级对身份审计的强制要求。我们建议优先采用IDaaS模式构建SSO中枢，避免自建IdP带来的运维黑洞——某制造企业自研SSO平台半年内发生3次JWT密钥泄露事故，而采用亿登托管服务后，连续21个月零安全事件。
SSO解决的是‘一次登录、处处通行’，但无法应对设备失陷、会话劫持等高级威胁。亿登科技主张将SSO作为零信任架构的起点，叠加持续信任评估能力。例如在金融客户案例中，当用户从陌生IP登录且触发大额转账时，系统自动激活多因素认证MFA增强策略，要求人脸+硬件令牌二次确认。后台基于设备指纹、行为基线、地理位置构建风险画像，动态调整访问权限粒度。这种‘SSO+MFA+ABAC’融合方案已在12家城商行投产，钓鱼攻击成功率下降92.7%。需要强调的是，SSO本身不等于安全，亿登科技所有SSO产品默认启用PKCE防止授权码拦截，并强制TLS1.3加密通信，拒绝明文传输任何凭证信息。