String SSO常见技术问题： **如何实现跨域单点登录？**

Question

在实现基于Spring Security的单点登录（SSO）时，跨域（Cross-Origin）场景下的身份认证与会话共享是一个常见难题。常见的问题包括：如何在多个不同域名或子域名下实现统一登录？如何解决浏览器同源策略对Token或Cookie传递的限制？如何在Spring SSO架构中配置CORS（跨域资源共享）策略以确保安全且正确的身份验证流程？此外，如何结合OAuth2、JWT或SAML等协议实现跨域环境下的SSO认证，同时保障用户凭证的安全性？这些问题涉及前后端协作、认证机制设计与安全策略配置，是构建分布式系统时必须解决的核心挑战。

Answer 1

1. 单点登录（SSO）与跨域（Cross-Origin）场景的基本概念

在分布式系统中，单点登录（SSO）允许用户一次登录后访问多个应用系统。然而，当这些系统部署在不同的域名或子域名下时，浏览器的同源策略（Same-Origin Policy）会限制Cookie、Token等认证信息的传递，导致身份认证流程受阻。

为了解决这个问题，开发者需要结合Spring Security、CORS策略、OAuth2、JWT或SAML等技术，构建一个安全、高效的身份认证架构。

2. 跨域场景下的身份认证挑战

在跨域环境下，常见的身份认证问题包括：

• 浏览器阻止跨域Cookie的发送与接收
• Token在跨域请求中无法自动携带
• CORS策略配置不当导致请求被拦截
• 不同子域名之间的Session共享问题

3. 跨域身份认证的解决方案概览

针对上述问题，可以采用以下几种技术方案进行解决：

解决方案	适用场景	优点	缺点
使用JWT Token	前后端分离、跨域访问	无状态、易于扩展	需要前端存储Token，易受XSS攻击
OAuth2 + Spring Security	第三方登录、SSO集成	标准化协议，支持多种认证方式	配置复杂，需理解OAuth2流程
SAML	企业级SSO、与AD集成	安全性高，适合企业环境	配置繁琐，兼容性较差
基于Cookie的跨域共享	同主域下的子域名	简单易用，天然支持Session	仅限同主域，无法跨主域使用

4. 基于Spring Security的CORS配置实践

在Spring Security中，可以通过配置CORS策略允许跨域请求携带认证信息。以下是一个典型的配置示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .cors().and()
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("https://client-app.com", "https://admin-app.com"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        configuration.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
        configuration.setAllowCredentials(true); // 允许携带Cookie
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}
  

5. 跨子域名的Cookie共享实现

如果多个系统部署在相同的主域名下，例如app.example.com和admin.example.com，可以通过设置Cookie的Domain属性实现共享。

// 在Spring Boot中配置Cookie的Domain属性
@Bean
public WebMvcConfigurer corsConfigurer() {
    return new WebMvcConfigurer() {
        @Override
        public void addCorsMappings(CorsRegistry registry) {
            registry.addMapping("/api/**")
                    .allowedOrigins("https://app.example.com", "https://admin.example.com")
                    .allowCredentials(true);
        }
    };
}
  

同时，设置Cookie的Domain为.example.com，即可在所有子域名下共享该Cookie。

6. OAuth2与JWT结合实现跨域SSO

使用OAuth2作为认证协议，配合JWT作为Token载体，可以实现跨域的SSO功能。典型流程如下：

graph TD
      A[用户访问应用A] --> B[重定向到认证中心]
      B --> C[用户登录认证中心]
      C --> D[认证中心返回OAuth2 Token]
      D --> E[应用A验证Token并登录]
      E --> F[用户访问应用B]
      F --> G[应用B验证Token并登录]

7. 安全性保障与最佳实践

在实现跨域SSO时，必须注意以下安全措施：

• 启用HTTPS，防止Token或Cookie被窃取
• 设置Cookie的Secure和HttpOnly属性
• 对JWT进行签名验证，防止篡改
• 使用OAuth2的PKCE机制防止中间人攻击
• 定期刷新Token，减少泄露风险