单点登录 SSO
公司十几个系统，每个都设一套账密——用户骂麻烦，安全同学骂复用与影子账号。SSO 想解决的是：在一个可信入口登录一次，其余系统认这笔「已认证」的结果。
一句话：IdP 发通行证，SP 验票放行——一次登录，多处通行；便利集中处，风险也集中。
是什么
典型角色：IdP（身份提供方）与 SP（业务应用）。协议常见 SAML、OAuth 2.0、OIDC：浏览器被重定向到 IdP，认证后带着断言/令牌回来，SP 建立本地会话。
| 角色 | 干什么 |
|---|---|
| IdP | 认证你是谁，签发可验证的登录结果 |
| SP | 信任 IdP，把令牌换成自己的会话与权限 |
为什么重要
体验更好、账号生命周期更集中、离职回收可以从 IdP 一刀切。但 IdP 挂了大家一起黑；IdP 被攻破，影响面放大。所以 IdP 必须配强认证（常叠 2FA）、审计、会话撤销与高可用。
怎么理解
园区一张工卡刷多栋楼——不是每栋楼各发一把钥匙。工卡中心要守硬；丢卡要能迅速挂失（注销会话/令牌）。SSO 解决的是「重复登录」，不是「权限可以糊弄」。
常见误解
- 上了 SSO 就安全：弱密码 + 无 2FA 的 IdP，是单点灾难。
- OAuth = 登录：OAuth 偏授权，OIDC 才在其上补齐身份层（常见组合）。
一句话记住
SSO 卖便利，护 IdP；通行证越通用，门卫越要硬。
