背景与价值
在数字世界日益碎片化的今天，用户需要在众多应用和服务间穿梭，记忆和管理成堆的账号密码不仅是一种负担，更是安全风险的温床。单点登录（Single Sign-On, SSO）正是解决这一困境的方案，它允许用户在一次登录后，获得访问多个相互信任的应用系统的权限，而无需再次输入凭据。
想象一下，用公司账号登录企业微信后，可以直接访问内部的 OA、CRM、知识库等所有系统，整个过程如丝般顺滑，无需二次认证。这就是 SSO 在日常工作中的体现。
其核心价值主要体现在三个方面：
- 极致的用户体验：将用户从繁琐的登录中解放出来，聚焦于业务本身。
- 集中的安全管控：将认证逻辑收归一处，便于实施强密码策略、多因素认证（MFA）、风险审计等高级安全措施。
- 高效的运维管理：大幅降低账号管理和密码重置的人力成本，实现身份的自动化生命周期管理。
什么是单点登录（SSO）？
单点登录是一种身份认证机制，核心在于一个所有应用都共同信任的认证中心。为了更直观地理解，我们通过流程分解来看这一过程。
首次登录应用 A
- 请求访问：用户首次访问应用 A。
- 重定向认证：应用 A 发现用户未登录，将其重定向至统一的 SSO 认证中心。
- 身份认证：用户在认证中心完成用户名和密码的验证。
- 发放票据：认证中心验证成功后，创建一个全局会话，并生成一个认证票据，然后将用户重定向回应用 A，同时附带这个票据。
- 票据验证：应用 A 拿到票据后，向认证中心发起请求，确认票据的有效性。
- 建立会话：验证通过后，应用 A 为用户建立本地会话，用户即可正常访问。
访问应用 B（无感登录）
当用户访问应用 B 时，同样会被重定向到认证中心。但这一次，认证中心检测到用户的全局会话依然有效，便无需再次输入密码，直接生成新票据并重定向回应用 B。应用 B 完成验证后，用户即可'无感'登录。
关键点：所有应用都信任同一个认证中心，认证中心持有用户的'黄金票据'（全局会话）。
SSO 的通用语言：常见协议与标准
不同的 SSO 方案通过标准化的协议进行通信，确保了互操作性。
| 协议 | 一句话总结 | 适用场景 |
|---|---|---|
| SAML 2.0 | 企业级标准的 XML 格式'身份证' | 企业内部系统、B2B 集成，如对接 Salesforce、Office 365 |
| OAuth 2.0 | 为第三方应用颁发的'授权钥匙' | 开放平台、API 授权、移动应用，如'微信登录'、'Google 登录' |
| OpenID Connect (OIDC) | 基于 OAuth 2.0 的 JSON 格式'身份证' | 现代 Web/移动应用，开发者友好，是互联网首选 |
| CAS | 轻量级开源的'入门级'认证协议 | 教育、政务内网系统，对定制化要求高的场景 |
重要区分：OAuth 2.0 本质上是授权协议（'允许 A 应用访问我的 B 资源'），而非认证协议（'证明我就是我'）。OpenID Connect 在 OAuth 2.0 之上扩展了身份层，才使其能用于 SSO。
