Что такое SSO и как через него идентифицируются пользователи?

SSO (Single Sign-On) — это механизм, при котором пользователь проходит аутентификацию один раз у доверенного провайдера идентификации (Identity Provider, IdP), а затем получает доступ к множеству приложений без повторного ввода учётных данных. Вместо того чтобы каждое приложение хранило пароль пользователя, они доверяют IdP и проверяют выданный им токен или сессию.

Как это работает

1. Пользователь заходит в приложение A, которое не имеет активной сессии.
2. Приложение A перенаправляет его на IdP (например, Google, Okta, Keycloak).
3. Пользователь вводит логин и пароль на стороне IdP.
4. IdP проверяет данные и выдаёт токен (SAML assertion, JWT, OAuth token) или устанавливает сессионную cookie.
5. Приложение A получает токен, проверяет его подпись и извлекает идентификатор пользователя.
6. Когда пользователь открывает приложение B, оно тоже обращается к IdP, который видит активную сессию и сразу выдаёт токен без повторного ввода пароля.

Пример на Node.js с проверкой JWT

const jwt = require('jsonwebtoken');

function authenticate(req, res, next) {
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) return res.status(401).send('No token');

  try {
    // Проверяем подпись токена, выданного IdP
    const payload = jwt.verify(token, process.env.IDP_PUBLIC_KEY);
    req.user = { id: payload.sub, email: payload.email };
    next();
  } catch (err) {
    res.status(401).send('Invalid token');
  }
}

Где применяется

• Корпоративные системы: один вход в почту, CRM, внутренний портал.
• Публичные сервисы: вход через Google, GitHub, Facebook.
• Микросервисы: централизованная аутентификация через API Gateway и IdP.

SSO повышает удобство для пользователя и безопасность: пароль хранится только у IdP, а приложения получают лишь токены с ограниченным сроком жизни. Однако важно правильно настроить доверие между сервисами и защитить токены от кражи.

Итог: SSO стоит применять, когда есть несколько приложений с общей базой пользователей и требуется единая точка входа. Это упрощает управление доступом и снижает риск утечек паролей.