一、引言

<dd id='5Ry1q'></dd>

二、SSO 概念澄清與業務價值

1. 概念澄清
   單點登錄并不是“不用登錄”，而是“一次登錄，多點互信”。用戶首次訪問系統 A 時完成身份驗證，隨后訪問系統 B、C、D 時，無需再次輸入憑證，系統通過互信機制自動識別用戶身份。
2. 業務價值
   • 體驗：減少密碼疲勞，提升轉化率。
   • 運維：集中賬號生命周期管理，降低人力成本。
   • 合規：集中審計日志，滿足監管要求。
   • 安全：減少密碼泄露面，支持多因素、條件策略。

三、Java 生態常見協議與選型

1. 容器會話克隆（早期偽 SSO）
   在集群節點之間復制 HttpSession，實現同一域名下的會話共享。缺點明顯：跨域困難、序列化性能差、無法橫向擴展。
2. Cookie 共享 + 統一認證中心
   利用二級域名共享 Cookie，將登錄態寫入頂級域，子系統讀取后完成身份識別。簡單易用，但跨頂級域失效，且 Cookie 容易被劫持。
3. CAS（Central Authentication Service）
   耶魯大學開源的經典協議，基于票據（Ticket）：登錄后返回 Ticket Granting Ticket（TGT），子系統用 Service Ticket（ST）換取用戶信息。協議輕量、實現簡單，被 Spring 社區廣泛集成。
4. SAML 2.0
   XML 時代的聯邦身份標準，支持跨域、跨組織。Java 世界有 OpenSAML、Spring Security SAML 等實現。配置復雜，但企業內網與政企互通場景不可取代。
5. OAuth 2.0 + OIDC
   OAuth 2.0 解決“授權”而非“身份”，OIDC 在其之上補充了 ID Token，從而完成身份斷言。Spring Authorization Server、Nimbus 等庫讓 Java 開發幾乎零成本接入。
6. JWT 自包含令牌
   無狀態架構的寵兒。令牌本身攜帶用戶身份與過期時間，網關層即可驗證，減少回源認證中心的壓力。需要解決令牌撤銷與續期難題。
7. 選型建議
   • 純內網、老系統多：CAS 或 SAML。
   • 新系統、微服務、移動端：OAuth 2.0 + OIDC + JWT。
   • 需要兼容政企互通：SAML 作為補充協議。

四、架構模式總覽

1. 中心化認證 + 會話反向代理
   所有流量先經過認證網關，網關驗證 Cookie 或令牌后轉發到后端微服務。優點：集中治理、策略統一。缺點：網關單點性能瓶頸。
2. 去中心化令牌
   客戶端持有 JWT，各服務自行解析令牌完成授權。網關只做路由，不再承載認證邏輯。優點：水平擴展無上限。缺點：令牌撤銷困難，需要額外黑名單機制。
3. 雙層混合模式
   邊緣層（Ingress 或 API Gateway）做輕量驗證，核心業務層再做細粒度授權。兼顧性能與靈活性，是云原生時代的折中方案。

五、核心組件拆解

1. 認證中心（IdP）
   負責用戶登錄、憑證校驗、令牌簽發。Java 實現一般基于 Spring Security，擴展 UserDetailsService、AuthenticationProvider 即可。
2. 資源網關（SP）
   接收令牌，解析用戶信息，將身份注入請求頭。Zuul、Spring Cloud Gateway、Servlet Filter 均可擔當此角色。
3. 用戶目錄（Directory）
   LDAP、Active Directory、關系數據庫皆可。Java 通過 Spring LDAP、MyBatis 屏蔽差異。
4. 令牌倉庫
   • 會話場景：Redis、Hazelcast 做高可用會話存儲。
   • JWT 場景：可選自包含，也可在 Redis 存“令牌指紋”實現快速吊銷。
5. 事件總線
   登錄、登出、令牌吊銷事件通過 Kafka、RabbitMQ 廣播到所有服務，實現分布式會話同步。

六、登錄流程全景時序

1. 首次訪問
   用戶打開業務系統 A → 被重定向到認證中心 → 輸入憑證 → 認證中心創建全局會話 → 簽發令牌 → 302 回到系統 A → 系統 A 攜帶令牌訪問資源 → 資源返回數據。
2. 再次訪問
   用戶訪問系統 B → 系統 B 發現已有全局會話 Cookie → 直接攜帶令牌訪問資源 → 無需再次登錄。
3. 單點注銷
   用戶點擊退出 → 認證中心銷毀全局會話 → 發布注銷事件 → 各系統監聽后清除本地會話 → 用戶在所有系統登出。

七、安全加固清單

1. 傳輸安全
   所有通信必須 TLS 1.2+，關閉弱密碼套件，啟用 HSTS。
2. 令牌安全
   • JWT：使用足夠長度的對稱密鑰或 RSA/ECDSA 非對稱密鑰。
   • 會話 Cookie：設置 HttpOnly、Secure、SameSite=Lax。
3. 防重放
   令牌或票據加入一次性隨機數（nonce）、時間戳，服務端校驗有效期。
4. 多因素認證
   短信、OTP、硬件 UKey、WebAuthn 可按用戶角色動態啟用。
5. 條件策略
   IP 白名單、設備指紋、地理位置、登錄頻次異常檢測。
6. 密鑰輪換
   定期更換簽名密鑰，舊密鑰保留寬限期，防止突發吊銷導致大面積掉線。

八、跨系統注銷與會話一致性

1. 前端方案
   利用 Hidden Iframe 并行調用各系統注銷端點，簡單但不穩定。
2. 后端方案
   認證中心發送注銷事件到消息隊列，各系統異步消費。Java 側通過 Spring Cloud Stream 實現事件驅動。
3. Token 撤銷列表
   JWT 場景下，將撤銷的 tokenId 寫入 Redis Set，網關層實時檢查。權衡點在于 Redis 內存占用與 TTL 策略。

九、移動端與 SPA 場景適配

1. 授權碼 + PKCE
   移動端無法安全存儲 Client Secret，使用 PKCE（Proof Key for Code Exchange）動態交換密鑰。Spring Authorization Server 原生支持。
2. 刷新令牌
   SPA 拿不到 Refresh Token？將 Refresh Token 放入 HttpOnly Cookie，由 BFF（Backend For Frontend）代理刷新。
3. 深度鏈接回傳
   App 通過自定義 scheme 或 Universal Link 接收授權碼，Java 服務端驗證后頒發訪問令牌。

十、生產落地：一條端到端實施路徑

1. 需求梳理
   • 系統：ERP、CRM、移動 App、H5 活動頁。
   • 并發：峰值 20k QPS，登錄態有效期 8 小時。
   • 合規：審計日志保留 3 年，密碼策略需滿足復雜度要求。
2. 技術選型
   • 協議：OAuth 2.0 + OIDC，兼容 CAS 作為遺留系統橋接。
   • 框架：Spring Authorization Server + Spring Cloud Gateway + Redis + MySQL。
3. 架構設計
   • 認證中心雙節點 + 負載均衡，會話共享 Redis Cluster。
   • 資源網關無狀態部署，水平擴展 10 節點。
   • 事件總線：Kafka 三副本，注銷事件全局廣播。
4. 數據建模
   用戶表、角色表、權限表、令牌指紋表、審計日志表。使用邏輯外鍵保證數據一致性。
5. 自動化流水線
   • 單元測試：Spring Boot Test + WireMock 模擬 IdP。
   • 集成測試：Testcontainers 啟動真實 Redis、MySQL，跑登錄、注銷、刷新令牌全鏈路。
   • 灰度發布：基于 Istio 的流量鏡像，把 5% 生產流量復制到新版本驗證穩定性。
6. 監控與告警
   • Prometheus：收集登錄延遲、令牌刷新成功率、會話數。
   • Grafana：紅色閾值——令牌錯誤率 > 1%。
   • Alertmanager：飛書群機器人實時通知。
7. 災備演練
   • Redis 故障：切換到備用集群，驗證會話重建。
   • 證書吊銷：模擬簽名密鑰泄露，更新 JWKS 端點，舊令牌強制失效。

十一、故障排查手冊

1. 登錄循環
   原因：Cookie 域配置錯誤、重定向 URL 不一致。排查：瀏覽器 DevTools 查看 Set-Cookie 頭、比對 redirect_uri 參數。
2. 跨域預檢失敗
   CORS 未正確設置 Access-Control-Allow-Credentials。
3. 令牌過期但刷新失敗
   Refresh Token 被 HttpOnly Cookie 攔截，SPA 未攜帶。檢查 SameSite 設置。
4. 高并發下 Redis 超時
   連接池參數不足，增加 maxTotal、maxIdle。
5. 時鐘漂移導致簽名無效
   服務器 NTP 未同步，偏差超過 60 秒。統一使用 chrony 或 systemd-timesyncd。

十二、性能調優實戰

1. JWT 解析優化
   使用 JJWT 的自定義 ObjectMapper 緩存，減少反射開銷。
2. Redis Pipeline
   批量獲取用戶權限，減少 RTT。
3. 網關預熱
   Spring Cloud Gateway 集成 caffeine 本地緩存，熱點用戶信息命中率 90%。
4. TLS 加速
   使用硬件卡卸載 TLS 握手，CPU 占用下降 40%。

十三、未來趨勢展望

1. 零信任架構
   不再區分內外網，每次調用都需攜帶動態令牌，結合設備信任評分。
2. 無密碼時代
   WebAuthn、Passkey 逐步取代密碼，Java 通過 Spring Security WebAuthn 擴展即可接入。
3. 身份即服務網格
   Sidecar 注入身份代理，業務容器零侵入實現 mTLS + JWT 雙重認證。
4. 人工智能風控
   基于用戶行為、設備指紋、地理位置訓練模型，實時評估登錄風險，動態調整多因素策略。

十四、結語