单点登录把多个系统的认证集中到一个身份提供方，好处是用户体验统一、账号管理简化。但这也意味着身份提供方成为单点，一旦被攻破影响范围极广。同时，认证流程涉及多个系统之间的信任关系，配置细节稍有偏差就可能出现严重的安全缺口。
第一，签名校验被关闭。为了排查登录失败的便利，有些实施会临时关闭断言签名校验，之后再未开启。这等于让任何能构造断言的一方都能伪造身份。
第二，接受未加密的断言。在配置中允许通过非加密通道传递断言，使攻击者可以在传输环节截获并篡改。
第三，回调地址校验宽松。如果应用对回调地址做模糊匹配，攻击者可以构造相似域名把用户引导到自控站点并获取会话。
第四，信任所有身份提供方证书。在生产环境中使用自签证书且不做指纹校验，会削弱信任链。
第五，服务提供方本地账号未清理。开通单点登录后，原有的本地登录入口未关闭，用户仍可用旧口令登录，绕过了统一认证与多因素认证。
第六，会话超时设置过长。认证集中后，会话长期有效意味着一次认证可长时间访问多个系统。
强制校验签名与加密断言，明确要求使用安全通道；对外部回调地址做精确匹配白名单；部署后立即停用或限制本地登录入口，仅在应急流程中保留并加强审计；把会话有效期与实际业务节奏对齐，重要系统单独设置更短的超时；对配置变更做评审，把关键配置项纳入配置管理并定期比对。
单点登录的安全水位取决于最薄弱的那个配置项。上线前的复核清单和上线后的配置基线比对，是避免长期隐患的有效手段。
售后客服
企业微信
