Iris框架本身不内置SSO实现，需自行集成Microsoft Entra ID等外部身份提供者或基于JWT+Refresh Token构建自托管方案，其仅提供HTTP中间件、Cookie管理等底层能力，SSO属于业务逻辑层。
Iris 框架本身不内置 SSO 实现，必须自行集成外部身份提供者（如 Microsoft Entra ID、Auth0、Keycloak），或基于 JWT + Refresh Token 构建自托管方案。 它只提供 HTTP 中间件、Cookie 管理、JSON 响应等底层能力，SSO 是业务逻辑层的事——直接套用 Iris 的 JWT 示例或启一个 OAuth2 客户端，大概率会漏掉会话同步、登出传播、Token 续期等关键环节。
用 jwt.New 实现双 Token 登录中间件
这是最轻量的自托管 SSO 方式，适合内部系统或与自有认证服务对接。核心是把 Access Token 放在请求头，Refresh Token 存在 HttpOnly Cookie 中。
-
Access Token有效期建议设为1h，签名用 RSA 私钥，验签用公钥，避免被篡改 -
Refresh Token必须绑定用户tokenVersion字段（数据库中随密码重置/登出递增），防止被盗后长期续期 - 中间件里调用
ctx.Request().Header.Get("Authorization")提取 Bearer Token，再用jwt.Parse验签并注入ctx.Values().Set("user_id", payload.UserId) - 刷新接口（
/refresh）必须校验ctx.Cookies().Get("refresh_token")，且仅允许 POST + CSRF Token（若前端非同域需额外处理）
对接 Microsoft Entra ID 的 OAuth2 流程
Iris 可通过 golang.org/x/oauth2 实现标准 Authorization Code Flow，但要注意：Entra ID 要求 response_type=code + scope=openid profile email，且回调地址（redirect_uri）必须在 Azure 应用注册中**精确匹配**（含末尾斜杠）。
- 用户首次访问
/login时，用oauth2.Config.AuthCodeURL生成跳转链接，带state参数防 CSRF - 回调路由（如
/callback）收到code后，调用oauth2.Config.Exchange换取id_token（不是access_token） - 解析
id_token（JWT）需用 Entra ID 的 JWKS URL 动态获取公钥，不能硬编码——可缓存 24 小时 - 成功后写入
ctx.SetCookieKV设置会话 Cookie，并重定向到首页；失败则返回ctx.StatusCode(401)+ 错误描述
为什么 Iris 的 session.Start 不能直接用于 SSO
因为 session.Start 默认基于内存或 Redis 存储 session ID，它只解决「本应用内」的登录状态维持，不解决跨域、跨应用的身份信任问题。SSO 的本质是「一个身份源，多个消费方」，而 session 是孤立的。
- 若强行用
session.Start存用户信息，登出时无法通知 Entra ID 或其他应用，导致「已登出但还能访问」 - 多个 Iris 应用（如
app1.example.com和app2.example.com）无法共享 session，除非配置Cookie.Domain=".example.com"且所有服务共用同一 session store - Entra ID 的 SAML/WS-Fed 集成更复杂，Iris 没有原生支持库，得手动解析 XML 断言，极易出错——建议优先走 OAuth2/OIDC
登出时最容易忽略的三件事
SSO 登出不是简单删 Cookie 或清 session，而是要触发「全局登出」流程。
- 调用 Entra ID 的
end_session_endpoint（格式如https://login.microsoftonline.com/{tenant}/oauth2/v2.0/logout?post_logout_redirect_uri=...），否则用户在其他应用仍保持登录 - 清除本地所有相关 Cookie：
ctx.RemoveCookie("auth_token")、ctx.RemoveCookie("refresh_token")，注意路径和域名是否匹配 - 如果用了自托管 JWT 方案，必须在登出时更新数据库中的
tokenVersion字段，让所有旧 Refresh Token 失效
真正难的不是写通登录，而是保证「一次登出，处处登出」——这要求每个参与方都严格遵循 OIDC 规范，且网络链路稳定。生产环境务必测试浏览器无痕窗口、多标签页、跨设备场景，否则用户会反复遇到「明明登出了，怎么又自动进去了」的问题。
