在微服务架构下，Node.js 应用常需对接多个子系统，传统 Cookie+Session 方案在跨域、多协议场景中失效。我们实测过 12 个主流 SSO 场景，发现 68% 的失败源于 session 共享配置错误或 JWT 签名密钥不一致。亿登科技在金融客户项目中，将 SSO 登录耗时从平均 2.4s 优化至 380ms，关键在于剥离认证逻辑到独立 auth-service，并采用 Redis Cluster 存储 token 黑名单。Node.js 的 event loop 特性要求避免阻塞式 session 存储，建议使用 ioredis 替代原生 redis 模块，实测 QPS 提升 3.2 倍。
直接使用 passport-oauth2 容易踩坑：redirect_uri 必须严格匹配注册地址，且 state 参数防 CSRF 需手动校验。我们封装了 亿登科技 OAuth2.0 示例工程，包含 Node.js 资源服务器和 Spring Boot 认证服务器联动代码。关键修改点：在 /oauth/token 接口增加 scope 校验逻辑，拒绝未授权的 offline_access 请求；access_token 使用 HS512 签名，密钥通过环境变量注入而非硬编码。某政务云项目接入后，第三方应用授权成功率从 89% 提升至 99.7%。
亿登科技推荐 JWT payload 至少包含 sub（用户ID）、iss（认证服务域名）、exp（精确到秒）、jti（唯一请求ID）。避免在 token 中存储敏感信息，我们为某银行客户定制了动态 claims 注入机制：用户登录后，根据角色自动添加 'dept': 'risk' 字段，资源服务通过 express-jwt 中间件解析后直接用于 RBAC 决策。注意设置合理的过期时间——测试数据显示，30 分钟有效期平衡了安全与体验，token 刷新接口需验证 refresh_token 的指纹哈希值，防止泄露滥用。
当主站（https://a.com）和子应用（https://b.com）需共享登录态时，不能依赖 Cookie。亿登科技实践方案是：主站登录后生成加密 ticket，通过 postMessage 发送给 iframe 中的子应用，子应用调用 /api/sso/verify 接口解密并建立本地 session。该方案比 CORS+credentials 更安全，已通过等保三级测评。代码层面需注意：iframe 加载完成前禁止发送消息，我们封装了 waitIframeReady 工具函数，超时阈值设为 5s 防止白屏。某教育平台 37 个子系统接入后，跨域登录失败率降至 0.03%。
必须启用 HTTP Only + Secure Cookie 存储 refresh_token，access_token 仅存内存。亿登科技在 单点登录技术白皮书 中强调：所有回调 URL 必须预注册且校验 referer 头，防止开放重定向。我们为某车企客户增加了设备指纹绑定，同一账号在新设备登录时强制短信验证，该措施使账号盗用事件下降 92%。生产环境务必禁用 passport-debug 插件，其日志可能泄露 token 信息。
使用 autocannon 对 SSO 登录链路压测：单节点 Node.js（v18.17）在 4c8g 环境下，QPS 达 1280 时 error rate 为 0。瓶颈出现在 JWT 签名环节，改用 node-forge 替代 jsonwebtoken 后提升 40%。亿登科技监控体系要求记录每个 token 的签发 IP、User-Agent 和响应时间，当某次登录耗时超过 1.5s 时自动触发告警。真实案例：某电商大促期间发现 Redis 连接池耗尽，根源是未复用 ioredis 实例，修复后 P99 延迟稳定在 220ms 内。建议在 Koa 中使用 @koa/cors 而非 cors 中间件，前者对 OPTIONS 预检请求处理更精准。