SSO（Single Sign-On）是一种身份验证机制，允许用户通过一次登录访问多个相互信任的系统或应用，无需重复输入凭证。核心目标是提升用户体验和安全性，减少密码疲劳和管理成本。
一、常见开源SSO框架概览
开源SSO框架主要分为两类：独立SSO服务器（如Keycloak、CAS）和协议库/集成方案（如Spring Security OAuth2）。前者提供完整的SSO服务端功能，后者需结合业务系统自定义开发。
二、详细对比表格
| 框架名称 | 开发语言 | 核心协议支持 | 适用场景 | 技术栈依赖 | 社区活跃度 | 部署复杂度 | 企业支持 | 扩展性 | 文档完善度 |
|---|---|---|---|---|---|---|---|---|---|
| Keycloak | Java | SAML 2.0、OIDC 1.0、OAuth 2.0、OpenID Connect、LDAP、AD、Kerberos、Social登录（Google/Facebook等） | 企业级应用集成（如Java EE、微服务、云原生）、跨域身份管理、需要统一认证授权中心 | 依赖Java（JDK 11+），可独立部署或容器化（Docker/K8s） | 高（GitHub星标超26k，每月更新） | 中低（提供Docker镜像，配置通过Web UI或JSON文件，支持自动化部署） | 高（Red Hat提供企业版支持，社区版免费） | 高（支持自定义SPI、主题、事件监听器、REST API扩展） | 高（官方文档详尽，社区教程丰富） |
| CAS | Java | CAS协议（v1-v6）、SAML 2.0、OIDC 1.0、OAuth 2.0、LDAP、AD、Radius、SPNEGO（Kerberos） | 传统企业/高校内部系统（如Web应用集群）、需要强身份验证（MFA、证书登录） | 依赖Java（JDK 11+），需部署Servlet容器（Tomcat/WildFly） | 高（GitHub星标超6.5k，Apereo组织维护，长期活跃） | 中（需熟悉Servlet容器配置，Web UI较传统） | 中（第三方商业支持，如Unicon） | 中（支持自定义认证处理器、票据存储后端、主题） | 高（官方文档详细，社区活跃） |
| Spring Authorization Server | Java | OAuth 2.1、OIDC 1.0、OpenID Connect（扩展）、SAML 2.0（需集成第三方库） | Spring生态项目（如Spring Boot微服务）、需要高度定制化的OAuth2/OIDC服务端 | 强依赖Spring Boot/Spring Security（Java 17+） | 高（GitHub星标超5k，Spring官方维护，迭代频繁） | 中（需熟悉Spring生态，配置基于Java Config或YAML） | 中（VMware/Pivotal提供企业支持） | 高（基于Spring扩展机制，可自定义授权端点、令牌生成策略） | 高（官方文档详尽，与Spring生态深度整合） |
| Authelia | Go | OIDC 1.0、SAML 2.0、LDAP、AD、RADIUS、Basic Auth、API Key | 轻量级云原生场景（如K8s集群、微服务网关）、需要快速部署的中小型系统 | 无外部依赖（Go二进制文件），支持Docker/K8s，配置文件（YAML/TOML） | 中高（GitHub星标超13k，更新频繁） | 低（单二进制部署，无状态，适合容器化） | 低（社区驱动，无官方商业支持） | 中（支持插件机制，但扩展需Go开发） | 中（文档清晰，社区教程逐步完善） |
| ForgeRock OpenIDM | Java | OIDC 1.0、SAML 2.0、OAuth 2.0、LDAP、AD、SCIM、REST API | 复杂身份管理场景（如跨域用户同步、生命周期管理、与企业目录集成） | 依赖Java（JDK 11+），需数据库（PostgreSQL/MySQL） | 中（GitHub星标超2k，ForgeRock公司维护，商业版更活跃） | 中高（需熟悉Java EE架构，配置较复杂） | 高（ForgeRock提供企业级支持，含高级功能） | 高（支持自定义脚本、连接器（Connectors）、工作流） | 中（文档侧重企业级功能，社区资源较少） |
| Gluu Server | Java | SAML 2.0、OIDC 1.0、OAuth 2.0、LDAP、AD、Kerberos、Social登录 | 企业级混合云/本地部署（如金融、政府机构）、需要多协议兼容和合规性支持 | 依赖Java（JDK 8+），需数据库（PostgreSQL/MySQL），支持Docker | 中（GitHub星标超1k，Gluu社区维护） | 中（配置通过Web UI或XML，支持自动化脚本） | 高（Gluu公司提供商业支持） | 高（支持自定义认证流程、属性映射、插件） | 中（文档详细，但部分高级功能需参考官方指南） |
| SSOIO | Java/PHP | SAML 2.0、OIDC 1.0、OAuth 2.0、LDAP、AD、微信/QQ登录（国内社交） | 国内企业（需对接微信/QQ等社交账号）、中小型系统快速集成 | 支持Java/PHP（可选），提供独立服务器或SDK集成 | 中（GitHub星标约2k，国内社区活跃） | 低（提供一键安装包，配置通过Web UI） | 低（国内团队提供商业支持） | 中（支持自定义登录页、属性同步） | 中（文档侧重国内社交登录，国际协议细节较少） |
三、如何选择开源SSO框架？
选择时需结合以下关键因素：
1. 协议需求
- 若需支持多协议兼容（如SAML+OIDC+LDAP），优先选Keycloak、Gluu Server或ForgeRock OpenIDM。
- 若仅需OAuth2/OIDC（如微服务间认证），Spring Authorization Server或Authelia更轻量。
- 若为传统Java Web应用集群（如CAS协议），CAS是首选。
常见的SSO协议
SAML（Security Assertion Markup Language）
企业级标准，使用XML格式传递认证数据，适合B2B场景。
流程：用户访问服务→服务提供商（SP）向身份提供商（IdP）发起请求→IdP返回SAML断言。OAuth 2.0 / OpenID Connect
OAuth用于授权，OpenID Connect（OIDC）扩展其实现认证。适合互联网应用，支持移动端。
关键组件：授权码（Authorization Code）、ID Token（JWT格式）。LDAP/Kerberos
内部系统常用，Kerberos通过票据（Ticket）实现无密码传输，LDAP提供目录查询。
2. 技术栈匹配
- 已采用Spring生态（Spring Boot/Cloud），优先选Spring Authorization Server（与Spring Security深度整合）。
- 偏好Go语言（云原生、高性能），选Authelia（适合K8s环境）。
- 传统Java EE应用，选Keycloak或CAS（均支持Servlet容器）。
3. 部署环境
- 云原生/容器化（K8s/Docker）：Authelia（单二进制）、Keycloak（Docker友好）。
- 本地/物理机部署：CAS、Gluu Server（支持复杂配置）。
4. 企业支持需求
- 需商业支持：Keycloak（Red Hat）、Gluu Server（Gluu公司）、ForgeRock OpenIDM（ForgeRock）。
- 社区驱动：CAS（Apereo）、Authelia（社区维护）。
5. 扩展性与定制化
- 需深度定制认证流程（如自定义MFA、属性映射）：Keycloak（SPI扩展）、ForgeRock OpenIDM（脚本/连接器）。
- 轻量扩展：Authelia（插件机制）、Spring Authorization Server（Spring扩展）。
6. 国内合规与社交登录
- 需对接微信/QQ/支付宝等国内社交账号：SSOIO（内置支持）或Keycloak（通过自定义Provider）。
四、总结建议
- 企业级通用场景：Keycloak（功能全面、社区活跃、企业支持完善）。
- 传统应用集群：CAS（专注SSO，多协议支持，适合高校/企业内部）。
- 云原生/轻量场景：Authelia（部署简单、高性能，适合K8s）。
- Spring生态项目：Spring Authorization Server（与Spring Security无缝集成）。
- 国内企业/社交登录：SSOIO（内置国内社交协议，本地化支持好）。
