早上打开电脑，你顺手点开邮箱、云盘、项目管理工具和内部办公系统。如果每个应用都要输一遍账号密码，那得浪费多少时间？现在大多数公司和平台都用上了单点登录（SSO），一次验证，畅通无阻。而这背后，靠的是成熟的网络认证协议在支撑。
什么是单点登录
单点登录，简单说就是你在同一个生态里，只要登录一次，其他关联服务就自动认你。比如用微信登录知乎、用谷歌账号登录第三方网站，都不用重新注册账号。这种体验的背后，并不是系统“猜”到你是谁，而是通过标准的网络认证协议完成身份传递。
常见的认证协议有哪些
目前主流的网络认证协议有三种：OAuth 2.0、OpenID Connect 和 SAML。它们分工不同，但目标一致——安全地确认“你是你”。
OAuth 2.0 其实本身不直接做身份认证，它是个授权框架。比如你用某App时，它要访问你的微信好友列表，OAuth 就负责让你授权，而不是把微信密码交给App。但很多系统基于它扩展出了登录功能。
OpenID Connect 是 OAuth 2.0 的“兄弟”，在授权的基础上加了一层身份验证。它返回一个叫 ID Token 的东西，里面包含用户的基本信息，比如用户名、邮箱。这是目前互联网上最常用的登录协议之一，像苹果登录、微软账户登录都是基于它。
SAML 多见于企业内部系统。比如你在公司用钉钉或飞书，点一下就进了CRM、HR系统，背后很可能走的是SAML协议。它用XML格式交换认证信息，虽然老一点，但在传统企业IT中依然很稳。
举个生活中的例子
你去住酒店，前台登记后给你一张房卡。之后你去餐厅、健身房，只要刷房卡就行，不用反复出示身份证。这张房卡就像SSO里的“会话令牌”。酒店各个服务部门都信任前台的认证结果——这和网络认证协议的逻辑一模一样。
技术实现简单看
以 OpenID Connect 为例，用户点击“用谷歌登录”后，网站会跳转到谷歌的认证地址：
https://accounts.google.com/o/oauth2/v2/auth?<br>response_type=code&client_id=your_client_id&redirect_uri=your_callback&scope=openid%20email&state=abc123用户同意后，谷歌回调你的网站并带上一个临时授权码。你的服务器再用这个码去换用户的身份信息。整个过程用户无感，但安全链条已经跑完。
企业内部部署时，可能会用身份提供商（IdP）统一管理登录。比如员工只用登录一次公司门户，就能访问所有接入SSO的系统。这种架构不仅方便，还能集中控制权限，员工离职一键禁用所有访问。
安全始终是底线
单点登录虽然方便，但也意味着“一个入口，全盘攻破”。所以令牌有效期要合理设置，关键操作还得二次验证。比如银行系统即便支持SSO，转账时仍可能要求输入短信验证码。多因素认证（MFA）常常和SSO搭配使用，平衡便利与安全。
现在的网络应用越来越依赖跨系统协作，单点登录不再是“加分项”，而是基本需求。理解背后的认证协议，不管是开发、运维还是普通用户，都能更清楚自己每天点的“登录”按钮，到底发生了什么。