# 开源身份认证七剑：自建 IAM 砍掉 Auth0/Okta/Clerk 年费的掘金图谱 ## 概述 身份认证与访问管理（IAM）是每个 SaaS、企业内网和 AI 应用都绕不开的"水电煤"。Auth0 按 MAU 计费、企业 SSO（SAML）功能锁在最高档、Clerk 免费额度一到 7500 MAU 就强制升级——一个中型 B2B 团队每年在身份认证上的开销轻松突破数万到数十万元。本周深挖七个差异化明显的开源 IAM 项目，覆盖开发者优先的 Logto、TypeScript 新王 Better Auth、Passkey 无密码的 Hanko、Agent 优先的 Casdoor、云原生多租户的 ZITADEL、可编程认证流的 Authentik，以及专攻 B2B 企业 SSO 的 BoxyHQ。它们不只是"免费替代品"，更是可以包装成企业 SSO 落地服务、认证训练营、Passkey 改造咨询的高变现标的。 ## 筛选标准 | 维度 | 权重 | 说明 | |------|------|------| | 变现潜力 | 40% | 能否包装成付费产品？企业 SSO 落地、认证迁移咨询是刚需高价服务 | | 训练营适用性 | 25% | OAuth/OIDC/SAML/RBAC 是热门求职技能，2-4 小时可做出登录系统 | | 技术新颖度 | 20% | Passkey、MCP 协议、可编程流程是否代表前沿方向 | | 维护活跃度 | 15% | 安全组件必须看最近 commit 与 CVE 响应速度 | --- ## 一、Logto —— 开发者优先、原生支持 MCP 的现代 CIAM **仓库**：[logto-io/logto](https://github.com/logto-io/logto) · 最近更新：本周活跃 commit · 许可证：Apache 2.0 / BSL **核心功能**：一套以 OIDC/OAuth 2.1/SAML 为标准、面向 SaaS 与 AI 应用的开源身份认证基础设施，开箱即用提供社交登录、企业 SSO、多租户、RBAC 和精美的管理控制台。最新版本已原生支持 MCP 协议，让 AI Agent 也能安全完成身份授权。 **上手难度**：⭐⭐⭐（Docker 一键起，SDK 体验接近 Clerk） **变现评估**：目标用户是"不想被 Auth0/Okta 绑架、又懒得自研 OIDC"的初创和中型团队。可做三类产品——① ¥1999 的"Logto 企业 SSO 一周落地"代部署服务（含 SAML 对接钉钉/飞书/企微/AD）；② ¥299 的《从零自建 CIAM》视频专栏；③ 面向出海团队的托管转售（低价转售其 Cloud，赚差价与运维费）。定价空间在 ¥299 服务到 ¥9999 企业项目之间。 **训练营评估**：4 小时课程即可让学员跑通"注册-登录-社交登录-SSO"全链路，学员带走一个可直接复用的登录系统模板，求职简历能写出 OIDC 实战经验。 **差异化**：相比 Keycloak 的"配置地狱"，Logto 的开发者体验是断层领先；相比 Clerk，它真正开源可自托管，不会被免费额度卡脖子。 --- ## 二、Better Auth —— TypeScript 认证新王，2026 年 NextAuth 的接班人 **仓库**：[better-auth/better-auth](https://github.com/better-auth/better-auth)（原 Bekacru/better-auth）· 最近更新：每日 commit · 许可证：MIT **核心功能**：TypeScript 生态"最全面的认证框架"，框架无关（Next/Remix/SvelteKit/Hono 通吃），自带 50+ 插件，覆盖 OIDC Provider、企业 SCIM、OAuth Proxy、JWT 安全、HIBP 密码泄露检测、Captcha、Passkey 等。文档站内嵌 AI 助手与 MCP 文档服务器。 **上手难度**：⭐⭐（纯库形态，npm install 即用，TS 类型推断友好） **变现评估**：这是目前增长最猛的开源认证项目，瞄准的是"NextAuth 用着别扭、Lucia 又停更"的庞大开发者群体。变现路径——① ¥99-¥299 的"Better Auth 全栈实战训练营"（前端开发者刚需）；② ¥599 的企业级插件合集（OIDC Provider + SCIM 这两个插件是商用付费的，可做配套教程与定制）；③ 独立开发者接私活时用它快速交付登录模块。定价偏亲民但走量空间大。 **训练营评估**：2-3 小时即可教会学员从零搭一个带社交登录、Passkey、邮箱验证的全栈认证，比传统 NextAuth 课程体验更好，学员上手成就感强。 **差异化**：它是库而非服务，没有部署与额度焦虑；插件架构让它能从"小博客登录"无缝扩展到"企业 IdP"，是 Lucia 停更后的最佳 TypeScript 选项。 --- ## 三、Hanko —— Passkey 无密码认证的先行者，砍掉短信验证码年费 **仓库**：[teamhanko/hanko](https://github.com/teamhanko/hanko) · 配套：[teamhanko/passkeys](https://github.com/teamhanko/passkeys)（FIDO2 认证的 Passkey Server）· 许可证：AGPL-3.0 **核心功能**：基于 Passkey 与 WebAuthn 的开源认证与用户管理平台，把登录方式从"密码"推向"通行密钥"，提供预构建 Web 组件秒级集成，是 Auth0、Clerk、Stytch 的即插即用替代。 **上手难度**：⭐⭐⭐（WebAuthn 调试需熟悉浏览器工具，但组件封装到位） **变现评估**：瞄准的是"短信验证码/Otp 成本爆炸"的痛点——每条短信验证码成本几分钱，用户量大时月费惊人，而 Passkey 是一次性设备绑定、零边际成本、且抗钓鱼。变现路径——① ¥999 的"短信验证码迁移 Passkey 降本"咨询服务（ROI 明确，客户算账就买单）；② 面向金融/政务/电商的 Passkey 合规改造项目（¥2 万起）；③ Hanko Cloud 转售。这是七剑里 ROI 故事最好讲的一个。 **训练营评估**：3 小时课程教 Passkey 注册/登录/跨设备同步全流程，学员能做出一个"无需密码、指纹/面容直接登录"的 Demo，非常适合作为安全方向作品集。 **差异化**：专注 Passkey 单点打透，FIDO2 认证背书；相比大而全的 IAM，它轻量、聚焦、降本叙事强。 --- ## 四、Casdoor —— 国产 Agent 优先、UI 优先的 IAM，一句话管用户 **仓库**：[casdoor/casdoor](https://github.com/casdoor/casdoor) · 8.6K+ Stars · Go 语言 · 许可证：Apache 2.0 **核心功能**：UI 优先的身份提供商与访问管理平台，一个后台管理用户、组织、OIDC/OAuth/SAML 应用、50+ 第三方登录与权限。最新定位为"Agent-first Identity"，原生适配 AI Agent 场景。提供 Casdoor Identity Cloud 企业版。 **上手难度**：⭐⭐（中文文档完善，国产项目本地化最好） **变现评估**：国内企业内网统一登录（GitLab/Harbor/Jenkins/Wiki 一套账号）是它的主场——员工离职删一个主账号即可全局回收权限。变现路径——① ¥1500 的"Casdoor 企业内网 SSO 搭建"服务（替代付费 AD/IdP，中小公司刚需）；② 集成钉钉/企微/飞书/微信的国内社交登录解决方案包（¥499）；③ 国产化信创项目认证模块（¥1 万+）。国内市场变现最顺。 **训练营评估**：2 小时课程即可让学员给一套开源系统（如 GitLab+Wiki+监控）统一上 SSO，学员立刻能在公司落地。 **差异化**：中文生态最佳、UI 最美观、Go 单二进制部署最省心，且积极拥抱 Agent 身份新范式。 --- ## 五、ZITADEL —— 云原生多租户 IAM，对标 Okta 的 B2B 利器 **仓库**：[zitadel/zitadel](https://github.com/zitadel/zitadel) · 14K+ Stars · Go 语言 · 许可证：Apache 2.0 / BSL **核心功能**：为"需要比 Keycloak 更省心、比 Auth0 更自主"的团队设计的云原生 IAM，天然多租户（Org/Project 层级）、内置审计日志、细粒度权限、全协议支持（OIDC/SAML/LDAP），自带登录 UI 与管理控制台。 **上手难度**：⭐⭐⭐⭐（概念层级多，但比 Keycloak 配置清爽） **变现评估**：B2B SaaS 厂商做"为每个企业客户提供独立身份域"的刚需。变现路径——① ¥3000 的"ZITADEL 多租户 SaaS 认证架构"咨询；② ¥999 的合规审计方案（内置审计日志，适合金融/医疗）；③ 大型企业迁移 Okta 项目（¥5 万+）。B2B 客户付费意愿最高、客单价最大。 **训练营评估**：4 小时课程聚焦多租户架构与企业 SSO，适合中高级开发者，学员能搭建一个"多企业隔离"的认证后台。 **差异化**：多租户是原生设计而非补丁，审计与合规开箱即用，是 Okta Workforce Identity 最直接的开源对手。 --- ## 六、Authentik —— 可编程认证流的认证胶水，定制化天花板 **仓库**：[goauthentik/authentik](https://github.com/goauthentik/authentik) · Python/Go · 许可证：MIT（含企业版增强） **核心功能**：灵活到极致的开源身份提供商，用"Flows（流程）+ Stages（阶段）"可视化/代码定义登录流程，可插入自定义条件、Webhook、策略，支持 SSO、LDAP、Radius、SCIM、Outpost 代理。 **上手难度**：⭐⭐⭐⭐⭐（功能强大但学习曲线陡） **变现评估**：适合有复杂定制需求的政府、高校、大型企业（如"按部门/IP/时间动态决定认证方式"这类奇葩需求只有它能优雅实现）。变现路径——① ¥2000/天的 Authentik 定制流程开发外包；② 大型组织 SSO 迁移与流程咨询（¥3 万+）；③ 企业版授权与支持服务转售。客单价最高、技术壁垒最深。 **训练营评估**：适合 6 小时以上的进阶训练营，学员能设计带风控、条件分支的认证流，是高端安全工程师作品集。 **差异化**：可编程流程是独门绝技，其它 IAM 给不了的定制化它能给，是"最后一公里"的专业利器。 --- ## 七、BoxyHQ —— B2B 企业 SSO 建筑块，专攻 SAML/OIDC 的"最后一公里" **仓库**：[boxyhq/jackson](https://github.com/boxyhq/jackson)（企业 SSO）+ dsync（目录同步）· TypeScript · 许可证：Apache 2.0 **核心功能**：把企业最头疼的 SAML SSO 封装成一个 OAuth 2.0 流程，屏蔽 SAML 协议全部复杂性；同时提供目录同步（SCIM）、审计日志、隐私合规等 B2B SaaS 必备建筑块，是 Auth.js 官方推荐的 SAML Provider。 **上手难度**：⭐⭐（专为"嵌入现有应用"设计，集成最简单） **变现评估**：直击 B2B SaaS 最高频的客户诉求——"我们要接客户公司的 AD/Okta/Azure 做 SSO"。Auth0 的 SSO 是最高档高价功能，BoxyHQ 让中小 SaaS 几行代码就能上 SSO。变现路径——① ¥2500 的"给你的 SaaS 加企业 SSO"快速集成服务（客单价适中、复购高）；② SCIM 用户自动同步（员工离职自动停用账号）合规方案；③ B2B SaaS 安全合规套装。这是七剑里"最小切入、最快变现"的。 **训练营评估**：1.5 小时迷你课即可让学员给一个应用接入任意企业 SAML SSO，是见效最快的实战项目。 **差异化**：不做大而全的 IAM，只做"企业 SSO + 目录同步"这一个钉子锤到极致，集成成本最低。 --- ## 项目分布可视化 ```mermaid quadrantChart title 开源身份认证七剑：变现天花板 vs 上手速度 x-axis "上手慢" --> "上手快" y-axis "变现偏低" --> "变现极高" quadrant-1 "高变现·易上手（首选掘金）" quadrant-2 "高变现·高门槛（专业深耕）" quadrant-3 "低变现·低门槛（走量训练营）" quadrant-4 "低变现·易上手（入门引流）" "Logto": [0.62, 0.78] "Better Auth": [0.72, 0.60] "Hanko(Passkey)": [0.55, 0.82] "Casdoor": [0.68, 0.70] "ZITADEL": [0.30, 0.88] "Authentik": [0.15, 0.92] "BoxyHQ": [0.85, 0.72] ``` ```mermaid mindmap root((开源身份认证七剑)) 开发者优先 Logto（CIAM + MCP） Better Auth（TS 新王） 无密码前沿 Hanko（Passkey/FIDO2） 企业 B2B ZITADEL（云原生多租户） BoxyHQ（SAML/SCIM 建筑块） 深度定制 Authentik（可编程流程） 本土化 Casdoor（Agent 优先/UI 优先） ``` --- ## 变现潜力 Top 5 排行榜 | 排名 | 项目 | 变现方向 | 预估定价 | 适用场景 | |------|------|----------|----------|----------| | 🥇 1 | **Authentik** | 大型企业/政企定制认证流、Okta 迁移 | ¥3 万-¥15 万/项目 | 政府高校、复杂风控需求 | | 🥈 2 | **ZITADEL** | B2B SaaS 多租户认证架构、合规审计 | ¥5 万+ 企业项目，¥3000 咨询 | B2B SaaS、金融医疗合规 | | 🥉 3 | **Hanko** | 短信验证码迁移 Passkey 降本 | ¥2 万+ 改造项目，¥999 咨询 | 电商/金融/高并发登录 | | 4 | **Logto** | 企业 SSO 一周落地、CIAM 专栏 | ¥1999 服务，¥299 专栏 | 初创 SaaS、AI 应用 | | 5 | **BoxyHQ** | "给 SaaS 加企业 SSO"快速集成 | ¥2500 服务，复购高 | B2B SaaS 补 SSO 功能 | **掘金组合建议**：训练营引流用 Better Auth（易上手、走量）；现金牛用 ZITADEL/Authentik（高客单企业项目）；爆款案例用 Hanko（降本故事好讲）；国内本土市场用 Casdoor；快速集成接单用 BoxyHQ。七剑打一套组合拳，从 ¥99 训练营到 ¥15 万企业项目全价位覆盖。 --- ## 参考来源 1. [GitHub - logto-io/logto](https://github.com/logto-io/logto) — Logto 官方仓库，面向 SaaS 与 AI 应用的开源 CIAM，支持 OIDC/OAuth 2.1/SAML 与 MCP 协议 2. [GitHub - better-auth/better-auth](https://github.com/better-auth/better-auth) — Better Auth 官方仓库，TypeScript 生态最全面的认证框架，50+ 插件 3. [GitHub - teamhanko/hanko](https://github.com/teamhanko/hanko) — Hanko 官方仓库，基于 Passkey/WebAuthn 的无密码认证平台 4. [GitHub - casdoor/casdoor](https://github.com/casdoor/casdoor) — Casdoor 官方仓库，UI 优先、Agent 优先的开源 IAM 平台 5. [GitHub - zitadel/zitadel](https://github.com/zitadel/zitadel) — ZITADEL 官方仓库，云原生多租户 IAM，对标 Auth0/Okta 6. [开源Auth基建替代Auth0/Okta 日报快照 - AmazingIndex](https://www.amazingindex.com/article/1f1729780c9ba3fdb05e1faae0a5b72a) — Logto 作为开源身份认证基础设施的行业分析 7. [2026 最佳開源 Auth0 替代方案 - Authgear](https://www.authgear.com/zh-Hant/post/top-open-source-auth0-alternatives/) — 2026 年开源 Auth0 替代方案成熟度与自托管能力评测 8. [2025 年五大开源身份与访问管理（IAM）服务商 - Logto 博客](https://blog.logto.io/zh-CN/top-oss-iam-providers-2025) — Logto/Keycloak/NextAuth/Casdoor/SuperTokens 横向对比 9. [Authentik vs. Zitadel 2026 开源 IdP 对比 - wz-it](https://wz-it.com/en/blog/authentik-vs-zitadel-identity-provider-comparison/) — Authentik 与 Zitadel 架构、功能、许可、自托管对比 10. [Auth.js - Boxyhq SAML Provider 文档](https://authjs.dev/getting-started/providers/boxyhq-saml) — BoxyHQ SAML 作为 OAuth 2.0 流程的官方集成说明 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。