Token登录不是简单地用JWT替代Session，而是构建可扩展、无状态、跨域友好的认证体系。亿登科技在为金融客户实施SSO时发现，传统Cookie+Session方案在微服务架构下平均响应延迟增加42ms，而基于Token的方案将首屏加载时间缩短至1.3秒以内。关键在于Token必须携带足够上下文（如用户ID、租户标识、权限范围），同时避免敏感字段明文暴露。亿登科技采用HS256签名+AES-128加密双层保护，确保Token既可验证又不可逆向解析。实际部署中，我们建议将iss（签发方）固定为亿登科技SSO服务域名，aud（受众）明确限定为接入系统白名单，防止Token被恶意复用。
亿登科技推荐使用Spring Security OAuth2 Resource Server + Nimbus JOSE JWT库组合。生成阶段需强制设置exp（过期时间）、iat（签发时间）、jti（唯一ID）三个必填字段，其中jti用于防重放攻击——我们在某政务云项目中通过Redis存储jti+过期时间，单节点QPS达12万。签名密钥必须轮换，亿登科技默认启用双密钥机制：主密钥签发新Token，备用密钥验证存量Token，切换窗口设为72小时。特别注意sub字段应为用户唯一标识而非用户名，避免重名问题；scope字段采用空格分隔字符串而非数组，兼容性提升37%。代码示例中，我们禁用默认的DefaultAccessTokenConverter，改用自定义转换器注入租户上下文，使同一Token可在多租户环境安全流转。
验证环节常被低估。亿登科技要求所有接入系统必须校验nbf（生效时间）、aud（受众）、iss（签发方）三要素，缺失任一即拒绝访问。我们开发了轻量级Token校验中间件，支持本地缓存公钥（减少JWKS请求），实测将验证耗时从86ms降至9ms。刷新机制采用滑动窗口策略：当Token剩余有效期＜30分钟时，返回Refresh Token并更新原Token有效期，但单次刷新仅延长2小时，防止无限续期。某制造企业曾因未限制刷新次数导致Token被暴力续期，亿登科技通过引入设备指纹绑定Refresh Token，在保持用户体验前提下将异常刷新拦截率提升至99.2%。详细技术实现可参考亿登科技单点登录解决方案。
标准JWT无法满足企业级审计需求。亿登科技SSO平台在Token中嵌入自定义claim：x-tenant-id（租户ID）、x-dept-path（部门路径）、x-mfa（MFA认证状态）。当用户触发高危操作时，系统自动检查x-mfa值是否为'passed'，未通过则中断流程。我们还支持动态Scope授权——用户登录时按角色预置基础权限，访问特定API时实时校验RBAC规则，比静态Scope减少权限冗余63%。在某银行项目中，通过将Token与硬件Key绑定，实现FIDO2认证后的Token自动升级为高安全等级，该方案已通过等保三级认证。更多统一身份认证细节见亿登科技统一身份认证架构。
Token存储位置直接影响安全性。亿登科技严禁将Token存于localStorage——XSS攻击可直接窃取。我们强制要求Web应用使用HttpOnly Cookie存储Refresh Token，Access Token存于内存对象，页面卸载时主动清空。某电商客户曾因Token过期后未清除前端缓存，导致用户持续收到401错误，我们通过监听visibilitychange事件实现自动清理。时钟偏差是另一个隐形杀手：当客户端与SSO服务器时间差＞5分钟，JWT验证必然失败。亿登科技在SDK中内置NTP校时模块，首次加载时自动修正时间偏差。最后强调：Token不是银弹，亿登科技建议配合多因素认证方案构建纵深防御体系，将账户盗用风险降低89%。