SSO与OAuth2.0核心区别解析：认证授权机制及分布式系统实践

在构建现代分布式系统时，理解身份认证与授权机制至关重要。SSO（单点登录）和OAuth2.0是两种广泛应用的框架，本文将从核心原理出发，对比它们的异同点，并探讨在实际场景中的应用。

一、认证与授权的本质区别

认证（Authentication） 是通过验证凭据来确认访问者身份的过程，例如使用用户名和密码登录系统，确保用户是合法身份而非他人。除了传统密码，身份验证还可以通过手机验证码或生物特征等方式完成。

授权（Authorization） 发生在认证之后，系统根据用户身份授予访问特定资源（如文件、数据库或服务）的权限。简单来说，授权决定了用户能做什么以及做到什么程度。

二、SSO：单点登录机制详解

SSO是一种身份验证方法，允许用户通过一次登录即可访问企业内部多个关联应用。在未采用SSO时，用户每次访问新应用都需重复输入凭证，流程繁琐。SSO通过统一认证中心简化此过程，提升用户体验和工作效率。

其执行流程如下图所示：

当用户访问客户端应用时，客户端会检查用户是否已登录。若未登录，则重定向至认证中心；用户输入凭证后，认证中心验证身份并颁发Token给客户端。此后，客户端可持Token向认证中心验证有效性，获取用户身份信息及权限。用户使用同一Token访问其他关联系统时，系统通过认证中心验证Token，确认登录状态后授权访问资源。因此，Token是SSO实现跨系统访问的关键。

三、OAuth2.0：授权协议的工作原理

OAuth2.0是一种标准的授权协议，允许用户授权第三方应用访问其在服务提供者处的特定资源，而无需共享用户名和密码。这增强了安全性和可控性，适用于开放平台和API集成场景。

其执行流程如下图所示：

用户访问受保护资源时，客户端将其重定向至授权服务器进行验证。用户输入凭证并确认授权范围后，授权服务器返回授权码。客户端使用授权码换取Access Token，该Token作为访问资源服务器的凭证。资源服务器验证Access Token有效后，返回对应受保护资源。整个过程确保了第三方应用在用户授权下安全访问资源。

四、总结与对比

1. 协议与框架：OAuth2.0是一种行业标准协议，侧重于授权控制；SSO是认证服务器程序的统称，强调统一身份认证。
2. 实现关系：SSO可以基于OAuth2.0协议实现分布式认证，也可采用其他协议。OAuth2.0在执行授权前必须完成认证，因此SSO常作为其前置环节。
3. 应用场景：在实际落地中，两者常结合使用（如谷歌、GitHub等平台）。OAuth2.0用于管理第三方授权，SSO则用于企业内部系统的登录共享，共同构建安全高效的身份管理体系。