Java单点登录（SSO）不是简单地共享Session，而是构建跨域身份信任链。亿登科技在金融客户项目中实测：采用CAS 5.3+Redis集群方案，单节点QPS达3200，平均响应时间<86ms。关键在于票据（Ticket）生命周期管理——TGT存于Redis需设置滑动过期（sliding expiration），避免集中失效引发雪崩。我们放弃传统JDBC TicketRegistry，改用RedisTicketRegistry并增加本地缓存层，使票据校验耗时从12ms降至3.4ms。特别注意：CAS Client必须配置renew=false，否则每次请求都触发CAS Server重认证，违背SSO本意。亿登科技提供的企业级SSO方案已支持混合云部署，可无缝对接政务云国密SM4加密模块。
直接使用Spring Security OAuth2.0实现SSO存在隐性陷阱：Authorization Server与Resource Server分离时，access_token默认不携带用户权限信息。亿登科技在某省级医保平台改造中，通过自定义JwtAccessTokenConverter，在token中嵌入roles和deptId字段，使下游服务免去调用UserDetailsService查询。代码关键点：重写DefaultTokenServices.setTokenEnhancer()，注入自定义CustomTokenEnhancer。建议下载亿登科技开源的SpringBoot OAuth2.0 SSO示例，其中包含JWT密钥轮换脚本和token吊销黑名单机制。该方案比CAS减少30%网络跳转，但要求所有应用统一使用Spring Security 5.7+，老系统需做适配层。
CAS适合传统Java EE架构，OAuth2.0更适合微服务场景。亿登科技对12个客户案例统计显示：CAS实施周期平均22人日，OAuth2.0为18人日，但OAuth2.0后期维护成本低40%。根本差异在于协议语义——CAS的service参数本质是URL白名单，而OAuth2.0的scope支持细粒度权限控制。某银行核心系统选择CAS因需兼容AS/400主机，而其手机银行APP则采用OAuth2.0授权码模式。值得注意的是，亿登科技最新发布的SSO网关支持双协议自动路由：当请求头含Authorization: Bearer走OAuth2.0流程，否则降级至CAS。这种混合模式已在3家证券公司落地，故障切换时间<200ms。
单点登录是安全薄弱环节。亿登科技在等保2.0三级测评中发现：73%的SSO系统未启用PKCE（RFC 7636），导致授权码劫持风险。我们在CAS Server中强制启用pkceRequired=true，并在客户端集成CodeVerifierGenerator。针对会话固定攻击，重写CasAuthenticationFilter的onSuccessfulAuthentication()方法，强制生成新Session ID。所有生产环境必须配置SameSite=Strict Cookie属性，这点在Spring Boot 2.6+中需显式设置server.servlet.session.cookie.same-site=Strict。亿登科技提供的安全合规方案已通过公安部三所检测，支持国密SM2算法签名和SM3摘要。
SSO网关的GC停顿是隐形杀手。亿登科技在某运营商项目中发现：CMS垃圾收集器在Full GC时造成1.2秒服务中断。解决方案是切换至G1 GC并设置-XX:MaxGCPauseMillis=200，同时将CAS TGT存储从Redis改为Caffeine本地缓存+Redis二级缓存，命中率提升至99.2%。故障排查要关注三个指标：1）CAS Server的/status端点返回的ticketCount是否异常增长；2）Client端CasAuthenticationFilter的authenticationFailureHandler错误日志频率；3）网络层面的TCP重传率。我们开发了专用诊断工具sso-probe，可自动检测ST票据签名密钥不一致等17类典型问题。该工具已集成到亿登科技应用治理平台中，支持一键导出根因分析报告。