CAS（Central Authentication Service）由耶鲁大学开源，是最早被广泛采用的SSO协议之一。亿登科技在为某省级政务云平台实施统一身份认证时，选用CAS 6.x版本构建核心认证中心，支撑37个委办局系统接入。其核心优势在于服务端集中管控——所有应用不保存用户凭证，仅向CAS Server发起/login和/validate请求。我们实测发现，当并发请求达8000TPS时，CAS Server集群（3节点+Redis缓存票据）平均响应时间稳定在42ms。关键改造点在于：将默认的内存票据存储替换为Redis，并启用TicketGrantingTicket的分布式会话同步机制。需注意CAS 5+已弃用XML配置，改用Spring Boot风格的application.yml管理，亿登科技封装了yideng-cas-autoconfigure starter，可一键集成LDAP/AD域控。该方案适合已有成熟LDAP基础设施且对协议标准化要求高的政企客户。
OAuth2.0本质是授权框架而非认证协议，但通过id_token扩展（即OIDC）可完美支撑SSO。亿登科技在金融行业客户项目中，基于Spring Security OAuth2.0重构了原有CAS架构，将认证中心升级为支持PKCE的Authorization Server。典型场景下，前端Vue应用通过response_type=code重定向至认证页，后端用client_secret换取access_token和id_token。我们实测发现，相比CAS，OAuth2.0在跨域场景下更轻量——无需处理Cookie域共享问题，且天然支持移动端APP接入。亿登科技提供开箱即用的SpringBoot OAuth2 SSO示例工程，已预置JWT签名、动态Client注册及细粒度Scope控制。特别提醒：生产环境必须启用TLS 1.2+并禁用implicit模式，亿登科技安全白皮书指出，2023年国内73%的OAuth2.0漏洞源于未校验redirect_uri。该方案推荐给以API为中心、需对接第三方生态的互联网企业。
SAML（Security Assertion Markup Language）在金融、医疗等强监管领域仍是首选。亿登科技为某全国性银行实施IDaaS平台时，采用Shibboleth IdP 4.3作为核心组件，成功对接21家分行的异构系统（含AS/400老系统）。其核心价值在于XML签名与加密的强制规范——所有AuthnRequest和Response均需X.509证书签名，满足等保2.0三级对身份断言完整性的要求。我们自研的saml-adapter模块解决了Java应用解析SAML Response的兼容性问题，支持SP-initiated和IdP-initiated两种流程。性能方面，单节点Shibboleth IdP在启用OCSP Stapling后，处理峰值1200TPS时延迟低于65ms。需警惕的是SAML元数据更新机制——亿登科技建议采用定时拉取+本地缓存策略，避免因元数据失效导致全站登录中断。该方案深度适配亿登科技IDaaS平台，提供可视化元数据管理界面。对于需通过等保、PCI-DSS认证的客户，SAML仍是不可替代的选择。
没有银弹方案。我们总结出三维度决策模型：技术栈（Java系优先CAS/SAML，Node.js生态倾向OAuth2.0）、合规要求（等保三级必选SAML）、集成复杂度（新系统推荐OAuth2.0，遗留系统改造选CAS）。亿登科技交付的132个SSO项目中，47%采用混合模式——核心系统用SAML保障合规，外围应用通过OAuth2.0网关接入。最新发布的亿登统一身份认证平台已内置三协议引擎，支持运行时动态切换。真实案例显示，某央企集团采用该平台后，员工跨系统登录耗时从平均83秒降至1.2秒，IT运维工单下降64%。技术细节上，务必关注时钟同步（SAML要求服务器时间误差<5分钟）、证书轮换自动化（亿登科技提供Ansible脚本模板）及审计日志留存（需满足《网络安全法》180天要求）。