SSO单点登录异步任务编排的并发控制与锁设计 - 第1节

1.1 什么是单点登录

单点登录（Single Sign-On，SSO）是一种身份认证机制，允许用户使用一组凭证（如用户名/密码）登录一次，即可访问多个相互信任的应用系统，而无需在每个系统中重复输入凭证。

SSO 的典型工作流程

1. 用户访问受保护资源：用户首次访问应用 A，应用 A 检测到用户未登录，将请求重定向到 SSO 认证中心。
2. 认证中心验证身份：SSO 认证中心展示统一登录页面，用户输入凭证并提交。
3. 生成全局票据：认证中心验证成功后，生成一个全局票据（Ticket），通常存储在 Cookie 或 Token 中。
4. 票据下发与回跳：认证中心将票据附加在重定向 URL 中，将用户带回应用 A。
5. 应用 A 验证票据：应用 A 向认证中心验证票据有效性，验证通过后建立本地会话，用户成功登录应用 A。
6. 跨系统访问：用户访问应用 B 时，应用 B 检测到未登录，将请求重定向到认证中心。认证中心检测到用户已有全局票据，直接生成新票据并回跳，应用 B 验证后完成登录，用户无需再次输入密码。

1.2 SSO 的核心价值

1.3 SSO 与 OAuth 2.0 的关系

SSO 和 OAuth 2.0 是两种不同层次的技术，常被混淆。SSO 是认证（Authentication）方案，解决“你是谁”的问题；OAuth 2.0 是授权（Authorization）框架，解决“你能做什么”的问题。两者在实践中经常结合使用。

SSO 与 OAuth 2.0 的协作关系

在现代化架构中，SSO 通常基于 OAuth 2.0 + OpenID Connect 实现：

• OpenID Connect 在 OAuth 2.0 的授权流程中增加 id_token（JWT 格式），用于传递用户身份信息。
• 认证中心 作为 OAuth 2.0 的授权服务器，同时承担身份提供者（IdP）角色。
• 各应用系统 作为 OAuth 2.0 的客户端，通过标准流程获取 id_token 和 access_token。
• 用户 在认证中心完成一次登录，后续所有客户端通过令牌验证实现免登录访问。

1.4 SSO 常见实现模式

根据架构风格和协议选择，SSO 主要有以下四种实现模式：

模式对比与选型建议

• 同域名场景：优先考虑基于 Cookie 的 SSO，实现成本最低。
• 企业级跨域联邦：SAML 2.0 是事实标准，尤其在 Salesforce、Workday 等 SaaS 集成中广泛使用。
• 轻量级内部系统：CAS 协议简单可靠，适合高校和中小型团队。
• 现代互联网/移动端/微服务：OIDC + OAuth 2.0 是最佳选择，支持 SPA、移动端、服务间认证。

基于 OIDC 的 SSO 实现流程（标准模式）

1. 用户访问客户端：用户点击“登录”按钮，客户端构造 OAuth 2.0 授权请求，包含 response_type=code、client_id、redirect_uri、scope=openid profile。
2. 重定向到认证中心：客户端将用户浏览器重定向到认证中心的授权端点。
3. 用户认证：认证中心验证用户身份（若已有会话则跳过），展示同意页面（首次授权时）。
4. 返回授权码：认证中心生成授权码（Authorization Code），通过重定向返回给客户端。
5. 令牌交换：客户端使用授权码 + client_secret 向认证中心的令牌端点请求令牌。
6. 返回 ID Token 和 Access Token：认证中心验证授权码后，返回 id_token（JWT 格式，包含用户身份信息）和 access_token。
7. 验证 ID Token：客户端验证 id_token 的签名、iss、aud、exp 等字段，提取用户信息。
8. 建立本地会话：客户端创建本地会话，用户登录成功。
9. 后续访问其他客户端：用户访问其他客户端时，重复步骤 1-2，但认证中心检测到用户已有会话，直接返回授权码，无需再次输入密码。