阿里终面：说说OAuth2.0 与 单点登录的区别？

什么是单点登录

简单的说就是在多个应用的系统中，用户只需要登录一次就可以访问权限范围内的所有应用子系统，同样的注销也只需要注销一次。

比如百度这个网站，用户只要登录了百度的官网，那么对于百度百科、百度知道、百度贴吧等网站都是处于登录状态，这就是一个典型的单点登录的例子。

单点登录和Oauth2.0的区别

虽然Oauth2.0能够实现单点登录，但是在一些方面还是有些区别的，如下：

1. 信任角度：Oauth2.0授权服务端和第三方客户端不属于一个互相信任的应用群，比如微信和第三方，这就不是一个公司的产品；然而单点登录的服务端和接入的客户端都在同一个相互信任的应用系统中，比如百度官网、百度百科，这都是一个公司的产品

2. 资源角度：OAuth2.0授权主要是让用户自行决定——“我”在OAuth2.0服务提供方的个人资源是否允许第三方应用访问；而单点登录的资源都在客户端这边，单点登录的服务端主要用于登录，以及管理用户在各个子系统的权限信息。

3. 流程角度：OAuth2.0授权的时候，第三方客户端需要拿预先“商量”好的密码去获取Access Token；而单点登录则不需要。

Oauth2.0完全可以实现单点登录，但是更加侧重于对于己方资源的保护，了解了这两种的区别才能正确的选择

单点登录的实现

Oauth2.0实现单点登录非常简单，比如微服务下的各个子系统接入Oauth2.0的认证服务，用户从认证服务获取token后，直接通过网关转发给下游子系统则可以实现只需要一次登录

其实除了Oauth2.0以外，还有很多框架能够实现单点登录，比较经典则