跨境电商数据一体化：领星ERP单点登录（SSO）集成架构设计与落地

┌─────────────────────────────────────────────────────────────┐
│                     应用接入层                               │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌──────────┐    │
│  │ 领星ERP  │  │  泛微OA  │  │ 金蝶星空 │  │   BI平台  │    │
│  └────┬─────┘  └────┬─────┘  └────┬─────┘  └────┬─────┘    │
└───────┼─────────────┼─────────────┼─────────────┼──────────┘
        │             │             │             │
        └─────────────┴──────┬──────┴─────────────┘
                             │
┌────────────────────────────┼────────────────────────────────┐
│                      集成平台层                              │
│              ┌─────────────┴─────────────┐                   │
│              │    轻易云数据集成平台      │                   │
│              │  ┌─────────────────────┐  │                   │
│              │  │   统一身份认证中心    │  │                   │
│              │  │   (IAM/SSO引擎)      │  │                   │
│              │  └─────────────────────┘  │                   │
│              │  ┌─────────────────────┐  │                   │
│              │  │   协议适配网关       │  │                   │
│              │  │ (OAuth2/SAML/CAS)   │  │                   │
│              │  └─────────────────────┘  │                   │
│              │  ┌─────────────────────┐  │                   │
│              │  │   数据同步引擎       │  │                   │
│              │  │  (组织架构/权限)     │  │                   │
│              │  └─────────────────────┘  │                   │
│              └───────────────────────────┘                   │
└─────────────────────────────────────────────────────────────┘
                             │
┌────────────────────────────┼────────────────────────────────┐
│                      身份源层                                │
│              ┌─────────────┴─────────────┐                   │
│              │      企业统一身份源         │                   │
│              │   (AD/LDAP/钉钉/企业微信)   │                   │
│              └───────────────────────────┘                   │
└─────────────────────────────────────────────────────────────┘

package com.qeasy.cloud.integration.lingxing;

import com.alibaba.fastjson.JSON;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import javax.crypto.Cipher;
import java.net.URLEncoder;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.*;

/**
 * 领星ERP SSO集成插件
 * 基于轻易云平台标准接口实现
 */
public class LingxingSSOPlugin extends AbstractSSOPlugin {
    
    // 从轻易云配置中心获取
    private static final String DOMAIN = "https://erp.lingxing.com";
    private static final String URL_PARAM = "?authType=jwt&param=%s";
    
    /**
     * 生成JWT令牌并构建重定向URL
     */
    public String generateRedirectUrl(UserIdentity user) {
        String jwtToken = createJWTToken(user);
        String encryptedParam = encryptParam(jwtToken);
        return DOMAIN + String.format(URL_PARAM, encryptedParam);
    }
    
    /**
     * 创建JWT令牌
     */
    private String createJWTToken(UserIdentity user) {
        Map<String, Object> header = new HashMap<>();
        header.put("type", "JWT");
        header.put("alg", "HS256");
        
        Date exp = new Date(System.currentTimeMillis() + getExpireTime() * 1000);
        
        return JWT.create()
            .withHeader(header)
            .withSubject(user.getUniqueKey())
            .withExpiresAt(exp)
            .withClaim("mobile", user.getMobile())
            .withClaim("email", user.getEmail())
            .withClaim("username", user.getUsername())
            .withClaim("realname", user.getRealname())
            .withClaim("timestamp", System.currentTimeMillis())
            .sign(Algorithm.HMAC256(getSignKey()));
    }
    
    /**
     * RSA加密参数
     */
    private String encryptParam(String jwtToken) {
        Map<String, Object> param = new HashMap<>();
        param.put("jwtToken", jwtToken);
        param.put("clientId", getClientId());
        
        String jsonStr = JSON.toJSONString(param);
        byte[] data = URLEncoder.encode(jsonStr, "UTF-8").getBytes("UTF-8");
        
        // RSA分段加密（每段117字节）
        Cipher cipher = Cipher.getInstance("RSA");
        cipher.init(Cipher.ENCRYPT_MODE, getPrivateKey());
        
        List<Byte> encrypted = new ArrayList<>();
        for (int i = 0; i < data.length; i += 117) {
            int end = Math.min(i + 117, data.length);
            byte[] segment = cipher.doFinal(Arrays.copyOfRange(data, i, end));
            for (byte b : segment) encrypted.add(b);
        }
        
        // Base64 URL安全编码
        byte[] result = new byte[encrypted.size()];
        for (int i = 0; i < encrypted.size(); i++) {
            result[i] = encrypted.get(i);
        }
        return Base64.getUrlEncoder().withoutPadding().encodeToString(result);
    }
}

# SSO全局配置
sso:
  enabled: true
  default_protocol: jwt
  token_expire: 3600  # 秒
  refresh_token_expire: 86400
  
# 领星ERP专用配置
lingxing:
  domain: https://erp.lingxing.com
  client_id: ${LINGXING_CLIENT_ID}
  sign_key: ${LINGXING_SIGN_KEY}
  private_key: ${LINGXING_PRIVATE_KEY}
  public_key: ${LINGXING_PUBLIC_KEY}
  
# 安全策略
security:
  encrypt_algorithm: RSA
  key_size: 2048
  enable_ip_whitelist: true
  max_login_attempts: 5

测试数据：
- 主数据源新增用户：张三（运营部）
- 角色：运营专员

验证点：
1. 轻易云平台5分钟内同步到该用户
2. 用户首次登录领星ERP自动创建账号
3. 权限自动映射为"运营专员"对应权限
4. 用户信息变更（如部门调整）实时同步

# 验证JWT签名
echo $JWT_TOKEN | jwt decode --verify $SIGN_KEY

# 验证RSA加密强度
openssl rsa -in private.key -text -noout | grep "Key Strength"

# 验证TLS配置
nmap --script ssl-enum-ciphers -p 443 erp.lingxing.com