在当今分布式系统架构日益普及的背景下,用户需要在多个应用间频繁切换登录状态，传统的多套账号密码体系不仅用户体验差，还存在安全隐患，单点登录（Single Sign-On, SSO）技术应运而生，通过统一的认证中心实现一次登录、全网通行，本文将分享一种基于JWT（JSON Web Token）的单点登录验证方法，该方法无需依赖第三方服务，具备轻量级、易实现、跨平台等优势，适合中小型项目快速集成。
核心原理：JWT与认证中心协同工作
单点登录的核心在于“统一认证+令牌传递”，本文设计的方案包含三个关键角色：认证中心（Authorization Center）、应用服务（Service App）和用户终端（User Client），用户首次访问任意应用时，会被重定向至认证中心进行登录；认证成功后，中心生成包含用户身份信息的JWT，并返回给用户；后续用户访问其他应用时，直接携带JWT，由各应用验证其有效性即可完成登录，无需重复输入密码。
JWT作为令牌载体,采用Header（头部）、Payload（载荷）、Signature（签名）三部分结构，Header通常包含令牌类型和签名算法（如HS256或RS256）；Payload存储用户身份信息（如用户ID、角色等）及过期时间；Signature则通过服务端密钥对前两部分进行加密，确保令牌未被篡改，这种自包含的设计使JWT无需依赖存储服务，可直接在应用间传递，极大简化了架构复杂度。
实现步骤：从认证到令牌验证的全流程
认证中心：用户登录与令牌签发
认证中心是单点登录的核心,需实现登录接口和令牌签发功能，以Spring Security框架为例，首先配置登录接口（如/login），接收用户提交的用户名和密码，通过数据库或LDAP等身份验证方式校验用户信息，校验通过后，使用JWT库（如jjwt）生成令牌：
String token = Jwts.builder()
.setSubject(userId) // 设置用户标识
.claim("roles", Arrays.asList("USER", "ADMIN")) // 添加角色信息
.setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 设置1小时过期
.signWith(SignatureAlgorithm.HS256, "your-secret-key") // 使用HS256算法签名
.compact();
生成令牌后,将其返回给用户客户端，通常通过Cookie或LocalStorage存储，为增强安全性，建议设置HttpOnly属性防止XSS攻击，并通过HTTPS传输避免令牌被窃取。
应用服务：令牌验证与用户信息解析
各应用服务需集成JWT验证逻辑,在用户请求到达时拦截并校验令牌有效性，以Spring Boot为例，可通过自定义拦截器实现：
public class JwtInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
String token = request.getHeader("Authorization"); // 从请求头获取令牌
try {
Claims claims = Jwts.parser()
.setSigningKey("your-secret-key")
.parseClaimsJws(token.replace("Bearer ", ""))
.getBody();
request.setAttribute("userId", claims.getSubject()); // 将用户信息存入请求域
return true;
} catch (Exception e) {
throw new UnauthorizedException("令牌无效或已过期");
}
}
}
若令牌验证通过,应用服务即可从Payload中提取用户信息（如用户ID、角色），用于权限控制；若验证失败，则返回401错误提示用户重新登录。
用户终端：令牌存储与跨域传递
用户终端作为令牌的“载体”，需妥善存储并在跨域请求中传递令牌，由于浏览器同源策略限制，当用户从app1.com跳转至app2.com时，需通过以下方式传递令牌：
- Cookie方式：认证中心登录成功后，将令牌写入Cookie，并设置
domain为父域名（如.example.com），使所有子域应用均可读取。 - LocalStorage+Authorization Header：将令牌存入LocalStorage，在跨域请求时通过
fetch或axios的Authorization头携带（如Bearer token），需配置CORS（跨域资源共享）策略，允许应用服务接收携带认证信息的请求。
安全增强：关键防护措施
令牌安全策略
- 短期有效+刷新机制：设置较短的令牌过期时间（如1小时），同时颁发长期有效的刷新令牌（Refresh Token），用于在令牌过期后重新获取访问令牌，减少用户重复登录频率。
- 签名算法选择：优先使用非对称加密算法（如RS256），服务端使用私钥签名，客户端或应用服务使用公钥验证，避免密钥泄露风险。
防御中间人攻击
- HTTPS强制启用：确保认证中心与应用服务均通过HTTPS通信，防止令牌在传输过程中被截获。
- 敏感信息脱敏：Payload中避免存储密码、身份证号等敏感数据，仅保留必要的用户标识和权限信息。
会话管理
- 令牌黑名单：当用户主动退出登录或修改密码时，将令牌加入黑名单（可通过Redis存储），禁止已失效的令牌继续使用。
- 单点登出：认证中心提供登出接口，用户登出时使所有子域应用的令牌失效，需配合前端清理Cookie或LocalStorage。
适用场景与优化方向
本方案适用于企业内部系统、中小型电商平台等对安全性要求较高且需要快速集成的场景，对于大型分布式系统，可结合OAuth 2.0协议增强扩展性，或引入Redis集中管理令牌黑名单，提升性能和可靠性，还可通过增加多因素认证（如短信验证码、指纹识别）进一步提升安全性，满足金融、政务等高安全等级需求。
通过上述方法,企业可低成本实现单点登录功能，在保障安全性的同时显著提升用户体验，为系统扩展和维护奠定良好基础。
