JWT本身不是认证协议，而是承载身份声明的安全令牌格式。在单点登录场景中，它作为跨域可信凭证被广泛采用。亿登科技在多个金融级客户项目中验证：使用HS256签名的JWT，在300ms内完成签发与校验，QPS稳定在12,000+。关键不在于JWT本身，而在于如何将其嵌入OAuth2.0授权码流程——用户首次登录IDP后，由亿登科技提供的统一身份认证平台签发含scope=profile,email的JWT，并注入HttpOnly Cookie供前端安全携带。
我们为某省级政务云设计的SSO方案中，JWT承担三重角色：会话状态载体、权限断言容器、审计溯源标识。具体实现时，亿登科技将JWT payload扩展为{sub:'uid_8823',iss:'yideng-idp',aud:['app-a','app-b'],exp:1735689200,nbf:1735685600,perms:['user:read','order:write']}。特别注意aud字段必须严格校验，避免令牌被恶意复用到未授权应用。生产环境建议采用RSA256非对称签名，密钥由亿登科技HSM模块托管，杜绝私钥泄露风险。该方案已在亿登OAuth2.0 SSO示例工程中开源验证。
JWT无状态特性带来便利也埋下隐患。亿登科技在银行客户项目中发现：单纯依赖exp过期时间无法应对实时吊销需求。解决方案是引入双令牌机制——短期访问令牌（JWT，15分钟）+长期刷新令牌（加密字符串，7天）。当JWT过期时，前端携带刷新令牌向亿登IDP请求新JWT，IDP通过Redis校验刷新令牌有效性（key=refresh:{uid}:{jti}，value=valid）。此设计使令牌吊销响应时间从小时级降至毫秒级。代码层面，亿登科技封装了YidengTokenService，自动处理jti生成、黑名单管理及时钟偏差补偿（±30s容错）。
JWT用于SSO必须直面三大风险：XSS窃取、CSRF滥用、算法混淆攻击。亿登科技要求所有生产系统强制启用HttpOnly+Secure+SameSite=Strict的Cookie策略，并禁用JWT头部alg字段动态解析（硬编码为RS256）。在等保2.0三级测评中，我们通过JWT签名密钥轮换（90天周期）、payload敏感字段AES-GCM加密、以及亿登科技安全合规方案，帮助客户一次性通过认证。特别提醒：不要在JWT中存储密码哈希或身份证号明文，亿登科技推荐使用sub字段指向内部用户ID，敏感数据通过后端API按需拉取。
亿登科技运维团队沉淀出JWT-SSO黄金监控指标：令牌签发延迟P95<80ms、校验失败率<0.02%、Redis刷新令牌命中率>99.7%。在K8s集群中，我们通过JVM参数-XX:+UseG1GC -XX:MaxGCPauseMillis=100优化JWT序列化性能；使用Micrometer暴露/jwt/metrics端点，集成亿登科技APM平台实现全链路追踪。当发现某次发布后token校验延迟突增至200ms，定位到是Bouncy Castle库版本冲突导致RSA解密慢——这正是亿登科技在OAuth2.0深度解析文章中强调的典型坑点。