SSO（Single Sign-On）即单点登录，指用户在多个相互信任的应用系统中，只需一次身份认证，即可访问所有授权系统，无需重复输入账号密码。这不是简单的‘记住密码’，而是构建了一套跨域身份信任链。亿登科技在金融、政务类客户项目中实测数据显示：部署SSO后，员工平均日均登录操作从12.6次降至1.3次，IT支持工单中密码重置类请求下降78%。关键在于，SSO不存储用户凭证，只传递经过签名加密的身份断言（Assertion），比如SAML或OIDC Token。常见误区是把CAS、OAuth2混为SSO——CAS是协议，OAuth2是授权框架，而SSO是目标场景；只有当它们被用于跨系统免密跳转时，才构成SSO落地。
目前企业级SSO主要依赖三大协议：SAML 2.0、OIDC（基于OAuth2）、以及轻量级的CAS。SAML在传统政企系统兼容性最强，但XML解析开销大，移动端适配差；OIDC因JSON结构和JWT签名特性，在云原生和微服务架构中成为首选，亿登科技交付的32个SaaS客户中，87%采用OIDC方案。值得注意的是，OAuth2本身不是认证协议，必须配合ID Token才能实现SSO，这点常被开发者忽略。我们开源的SpringBoot OIDC SSO示例已集成Keycloak与自研IDP，支持5分钟快速验证流程。对于遗留系统改造，亿登科技提供SAML桥接网关，将老系统HTTP Form登录页自动注入SAML元数据，零代码接入。
亿登科技的SSO解决方案不是简单配置IDP，而是构建包含身份源管理、动态策略引擎、实时风险评估的完整闭环。例如，在某省级医保平台项目中，我们通过集成亿登IDaaS平台，将LDAP、钉钉、微信公众号三类身份源统一纳管，并设置‘高危IP登录需人脸二次认证’策略，该策略由亿登自研的风险评分模型驱动，准确率达92.3%。所有SSO会话强制启用短生命周期Token（默认15分钟），配合设备指纹绑定与异常行为阻断。我们拒绝‘一次登录，永久通行’的伪安全设计——真正的SSO必须支持按业务敏感度分级会话策略。相关安全合规能力已通过等保2.0三级与ISO27001认证，详情可参考亿登安全合规白皮书。
第一，会话超时同步问题。A系统退出后，B系统仍保持登录态，这是典型会话未联动。亿登科技采用双通道机制：前端监听IDP登出事件+后端轮询Token状态，确保秒级同步。第二，跨域Cookie限制。Chrome 80+默认SameSite=Lax，导致第三方SSO跳转失败。我们的SDK自动降级为POST重定向+隐藏iframe方案，兼容IE11至Chrome120。第三，错误处理缺失。90%的SSO故障源于IDP返回错误码未被SP捕获。亿登SSO SDK内置17类标准错误分类与中文友好提示，支持对接企业微信告警。这些细节在亿登SSO实施手册中有完整代码级说明，含Spring Security与Vue3适配示例。