该论文针对现代 Web 中广泛使用的单点登录（SSO）系统，研究其在实际部署中因本地账户管理与 SSO 后端功能相互交织而产生的一系列账户和会话管理缺陷。作者指出，这些缺陷并非源自 SSO 协议本身，而是由于支持独立但相互关联的认证路径所带来的复杂性，因此无法被已有的协议验证或实现检测工具发现。为此，他们提出了 SAAT——一个全自动的模块化审计框架，专门评估使用 Facebook 作为身份提供商（IdP）的依赖方（RP）是否遵循安全实践和指南，并揭示由 SSO 与本地功能交互导致或影响的账户及会话管理漏洞。作者对 Facebook 的 RP 进行了大规模实证研究，发现该生态系统极不稳定：SSO 支持可能突然中断，17.6% 的受测 RP 存在非功能性 SSO 实现；安全措施普遍缺失，官方指南经常被忽视或错误配置，只有 0.8% 的 RP 完全启用了可防止 IdP 会话 cookie 劫持的重新认证机制；此外，只有不到 2% 的 RP 能正确处理 SSO 撤销，67% 的 RP 在撤销后 10 天仍允许账户访问。论文的核心贡献在于提出了首个能够持续、系统化审计 SSO 生态系统的自动化框架，并为大型 SSO 身份提供商开展大规模修复工作提供了工具和依据。该研究适合 SSO 服务提供商、安全审计工具开发者、依赖 SSO 的 Web 应用运维者以及关注认证安全的研究人员阅读。