身份认证与访问管理（IAM）是每个 SaaS、企业内网和 AI 应用都绕不开的"水电煤"。Auth0 按 MAU 计费、企业 SSO（SAML）功能锁在最高档、Clerk 免费额度一到 7500 MAU 就强制升级——一个中型 B2B 团队每年在身份认证上的开销轻松突破数万到数十万元。本周深挖七个差异化明显的开源 IAM 项目，覆盖开发者优先的 Logto、TypeScript 新王 Better Auth、Passkey 无密码的 Hanko、Agent 优先的 Casdoor、云原生多租户的 ZITADEL、可编程认证流的 Authentik，以及专攻 B2B 企业 SSO 的 BoxyHQ。它们不只是"免费替代品"，更是可以包装成企业 SSO 落地服务、认证训练营、Passkey 改造咨询的高变现标的。
| 维度 | 权重 | 说明 |
|---|---|---|
| 变现潜力 | 40% | 能否包装成付费产品？企业 SSO 落地、认证迁移咨询是刚需高价服务 |
| 训练营适用性 | 25% | OAuth/OIDC/SAML/RBAC 是热门求职技能，2-4 小时可做出登录系统 |
| 技术新颖度 | 20% | Passkey、MCP 协议、可编程流程是否代表前沿方向 |
| 维护活跃度 | 15% | 安全组件必须看最近 commit 与 CVE 响应速度 |
仓库：logto-io/logto · 最近更新：本周活跃 commit · 许可证：Apache 2.0 / BSL
核心功能：一套以 OIDC/OAuth 2.1/SAML 为标准、面向 SaaS 与 AI 应用的开源身份认证基础设施，开箱即用提供社交登录、企业 SSO、多租户、RBAC 和精美的管理控制台。最新版本已原生支持 MCP 协议，让 AI Agent 也能安全完成身份授权。
上手难度：⭐⭐⭐（Docker 一键起，SDK 体验接近 Clerk）
变现评估：目标用户是"不想被 Auth0/Okta 绑架、又懒得自研 OIDC"的初创和中型团队。可做三类产品——① ¥1999 的"Logto 企业 SSO 一周落地"代部署服务（含 SAML 对接钉钉/飞书/企微/AD）；② ¥299 的《从零自建 CIAM》视频专栏；③ 面向出海团队的托管转售（低价转售其 Cloud，赚差价与运维费）。定价空间在 ¥299 服务到 ¥9999 企业项目之间。
训练营评估：4 小时课程即可让学员跑通"注册-登录-社交登录-SSO"全链路，学员带走一个可直接复用的登录系统模板，求职简历能写出 OIDC 实战经验。
差异化：相比 Keycloak 的"配置地狱"，Logto 的开发者体验是断层领先；相比 Clerk，它真正开源可自托管，不会被免费额度卡脖子。
仓库：better-auth/better-auth（原 Bekacru/better-auth）· 最近更新：每日 commit · 许可证：MIT
核心功能：TypeScript 生态"最全面的认证框架"，框架无关（Next/Remix/SvelteKit/Hono 通吃），自带 50+ 插件，覆盖 OIDC Provider、企业 SCIM、OAuth Proxy、JWT 安全、HIBP 密码泄露检测、Captcha、Passkey 等。文档站内嵌 AI 助手与 MCP 文档服务器。
上手难度：⭐⭐（纯库形态，npm install 即用，TS 类型推断友好）
变现评估：这是目前增长最猛的开源认证项目，瞄准的是"NextAuth 用着别扭、Lucia 又停更"的庞大开发者群体。变现路径——① ¥99-¥299 的"Better Auth 全栈实战训练营"（前端开发者刚需）；② ¥599 的企业级插件合集（OIDC Provider + SCIM 这两个插件是商用付费的，可做配套教程与定制）；③ 独立开发者接私活时用它快速交付登录模块。定价偏亲民但走量空间大。
训练营评估：2-3 小时即可教会学员从零搭一个带社交登录、Passkey、邮箱验证的全栈认证，比传统 NextAuth 课程体验更好，学员上手成就感强。
差异化：它是库而非服务，没有部署与额度焦虑；插件架构让它能从"小博客登录"无缝扩展到"企业 IdP"，是 Lucia 停更后的最佳 TypeScript 选项。
仓库：teamhanko/hanko · 配套：teamhanko/passkeys（FIDO2 认证的 Passkey Server）· 许可证：AGPL-3.0
核心功能：基于 Passkey 与 WebAuthn 的开源认证与用户管理平台，把登录方式从"密码"推向"通行密钥"，提供预构建 Web 组件秒级集成，是 Auth0、Clerk、Stytch 的即插即用替代。
上手难度：⭐⭐⭐（WebAuthn 调试需熟悉浏览器工具，但组件封装到位）
变现评估：瞄准的是"短信验证码/Otp 成本爆炸"的痛点——每条短信验证码成本几分钱，用户量大时月费惊人，而 Passkey 是一次性设备绑定、零边际成本、且抗钓鱼。变现路径——① ¥999 的"短信验证码迁移 Passkey 降本"咨询服务（ROI 明确，客户算账就买单）；② 面向金融/政务/电商的 Passkey 合规改造项目（¥2 万起）；③ Hanko Cloud 转售。这是七剑里 ROI 故事最好讲的一个。
训练营评估：3 小时课程教 Passkey 注册/登录/跨设备同步全流程，学员能做出一个"无需密码、指纹/面容直接登录"的 Demo，非常适合作为安全方向作品集。
差异化：专注 Passkey 单点打透，FIDO2 认证背书；相比大而全的 IAM，它轻量、聚焦、降本叙事强。
仓库：casdoor/casdoor · 8.6K+ Stars · Go 语言 · 许可证：Apache 2.0
核心功能：UI 优先的身份提供商与访问管理平台，一个后台管理用户、组织、OIDC/OAuth/SAML 应用、50+ 第三方登录与权限。最新定位为"Agent-first Identity"，原生适配 AI Agent 场景。提供 Casdoor Identity Cloud 企业版。
上手难度：⭐⭐（中文文档完善，国产项目本地化最好）
变现评估：国内企业内网统一登录（GitLab/Harbor/Jenkins/Wiki 一套账号）是它的主场——员工离职删一个主账号即可全局回收权限。变现路径——① ¥1500 的"Casdoor 企业内网 SSO 搭建"服务（替代付费 AD/IdP，中小公司刚需）；② 集成钉钉/企微/飞书/微信的国内社交登录解决方案包（¥499）；③ 国产化信创项目认证模块（¥1 万+）。国内市场变现最顺。
训练营评估：2 小时课程即可让学员给一套开源系统（如 GitLab+Wiki+监控）统一上 SSO，学员立刻能在公司落地。
差异化：中文生态最佳、UI 最美观、Go 单二进制部署最省心，且积极拥抱 Agent 身份新范式。
仓库：zitadel/zitadel · 14K+ Stars · Go 语言 · 许可证：Apache 2.0 / BSL
核心功能：为"需要比 Keycloak 更省心、比 Auth0 更自主"的团队设计的云原生 IAM，天然多租户（Org/Project 层级）、内置审计日志、细粒度权限、全协议支持（OIDC/SAML/LDAP），自带登录 UI 与管理控制台。
上手难度：⭐⭐⭐⭐（概念层级多，但比 Keycloak 配置清爽）
变现评估：B2B SaaS 厂商做"为每个企业客户提供独立身份域"的刚需。变现路径——① ¥3000 的"ZITADEL 多租户 SaaS 认证架构"咨询；② ¥999 的合规审计方案（内置审计日志，适合金融/医疗）；③ 大型企业迁移 Okta 项目（¥5 万+）。B2B 客户付费意愿最高、客单价最大。
训练营评估：4 小时课程聚焦多租户架构与企业 SSO，适合中高级开发者，学员能搭建一个"多企业隔离"的认证后台。
差异化：多租户是原生设计而非补丁，审计与合规开箱即用，是 Okta Workforce Identity 最直接的开源对手。
仓库：goauthentik/authentik · Python/Go · 许可证：MIT（含企业版增强）
核心功能：灵活到极致的开源身份提供商，用"Flows（流程）+ Stages（阶段）"可视化/代码定义登录流程，可插入自定义条件、Webhook、策略，支持 SSO、LDAP、Radius、SCIM、Outpost 代理。
上手难度：⭐⭐⭐⭐⭐（功能强大但学习曲线陡）
变现评估：适合有复杂定制需求的政府、高校、大型企业（如"按部门/IP/时间动态决定认证方式"这类奇葩需求只有它能优雅实现）。变现路径——① ¥2000/天的 Authentik 定制流程开发外包；② 大型组织 SSO 迁移与流程咨询（¥3 万+）；③ 企业版授权与支持服务转售。客单价最高、技术壁垒最深。
训练营评估：适合 6 小时以上的进阶训练营，学员能设计带风控、条件分支的认证流，是高端安全工程师作品集。
差异化：可编程流程是独门绝技，其它 IAM 给不了的定制化它能给，是"最后一公里"的专业利器。
仓库：boxyhq/jackson（企业 SSO）+ dsync（目录同步）· TypeScript · 许可证：Apache 2.0
核心功能：把企业最头疼的 SAML SSO 封装成一个 OAuth 2.0 流程，屏蔽 SAML 协议全部复杂性；同时提供目录同步（SCIM）、审计日志、隐私合规等 B2B SaaS 必备建筑块，是 Auth.js 官方推荐的 SAML Provider。
上手难度：⭐⭐（专为"嵌入现有应用"设计，集成最简单）
变现评估：直击 B2B SaaS 最高频的客户诉求——"我们要接客户公司的 AD/Okta/Azure 做 SSO"。Auth0 的 SSO 是最高档高价功能，BoxyHQ 让中小 SaaS 几行代码就能上 SSO。变现路径——① ¥2500 的"给你的 SaaS 加企业 SSO"快速集成服务（客单价适中、复购高）；② SCIM 用户自动同步（员工离职自动停用账号）合规方案；③ B2B SaaS 安全合规套装。这是七剑里"最小切入、最快变现"的。
训练营评估：1.5 小时迷你课即可让学员给一个应用接入任意企业 SAML SSO，是见效最快的实战项目。
差异化：不做大而全的 IAM，只做"企业 SSO + 目录同步"这一个钉子锤到极致，集成成本最低。
quadrantChart
title 开源身份认证七剑：变现天花板 vs 上手速度
x-axis "上手慢" --> "上手快"
y-axis "变现偏低" --> "变现极高"
quadrant-1 "高变现·易上手（首选掘金）"
quadrant-2 "高变现·高门槛（专业深耕）"
quadrant-3 "低变现·低门槛（走量训练营）"
quadrant-4 "低变现·易上手（入门引流）"
"Logto": [0.62, 0.78]
"Better Auth": [0.72, 0.60]
"Hanko(Passkey)": [0.55, 0.82]
"Casdoor": [0.68, 0.70]
"ZITADEL": [0.30, 0.88]
"Authentik": [0.15, 0.92]
"BoxyHQ": [0.85, 0.72]
mindmap
root((开源身份认证七剑))
开发者优先
Logto（CIAM + MCP）
Better Auth（TS 新王）
无密码前沿
Hanko（Passkey/FIDO2）
企业 B2B
ZITADEL（云原生多租户）
BoxyHQ（SAML/SCIM 建筑块）
深度定制
Authentik（可编程流程）
本土化
Casdoor（Agent 优先/UI 优先）
| 排名 | 项目 | 变现方向 | 预估定价 | 适用场景 |
|---|---|---|---|---|
| 🥇 1 | Authentik | 大型企业/政企定制认证流、Okta 迁移 | ¥3 万-¥15 万/项目 | 政府高校、复杂风控需求 |
| 🥈 2 | ZITADEL | B2B SaaS 多租户认证架构、合规审计 | ¥5 万+ 企业项目，¥3000 咨询 | B2B SaaS、金融医疗合规 |
| 🥉 3 | Hanko | 短信验证码迁移 Passkey 降本 | ¥2 万+ 改造项目，¥999 咨询 | 电商/金融/高并发登录 |
| 4 | Logto | 企业 SSO 一周落地、CIAM 专栏 | ¥1999 服务，¥299 专栏 | 初创 SaaS、AI 应用 |
| 5 | BoxyHQ | "给 SaaS 加企业 SSO"快速集成 | ¥2500 服务，复购高 | B2B SaaS 补 SSO 功能 |
掘金组合建议：训练营引流用 Better Auth（易上手、走量）；现金牛用 ZITADEL/Authentik（高客单企业项目）；爆款案例用 Hanko（降本故事好讲）；国内本土市场用 Casdoor；快速集成接单用 BoxyHQ。七剑打一套组合拳，从 ¥99 训练营到 ¥15 万企业项目全价位覆盖。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。