每个 SaaS 都躲不开一道关：用户登录。而做这道关的人——Auth0、Clerk、WorkOS——正把账单越做越狠。Auth0 被 Okta 收购后企业版起步价年年抬升，Clerk 的 MAU 计费在产品冷启动期就悄悄爬过免费额度，WorkOS 则把"企业 SSO"当成奢侈品按连接数收费。本期深挖七个 2026 年仍保持高活跃的开源身份认证项目，覆盖 IdP 服务与认证库两种形态、TS/Go/Python/C# 四种技术栈，拆解它们如何把一年数千到数万美元的认证订阅，折叠进一台自托管服务器。 ## 一、筛选标准 | 维度 | 权重 | 说明 | |------|------|------| | 变现潜力 | 40% | 能否包装成付费产品（托管服务/训练营/咨询），目标用户与定价空间 | | 训练营适用性 | 25% | 能否在 2–4 小时内教会学员，学员能否产出可演示成果 | | 技术新颖度 | 20% | 是否代表 passkey、AI Agent 认证、多租户等前沿方向 | | 维护活跃度 | 15% | 近期 commit 频率、Issue 响应、版本迭代节奏 | ## 二、先算一笔账：被砍的年费有多重 认证订阅的痛感来自"阶梯计费 + 功能解锁"双重夹击。Clerk 对 5 万 MAU 以内免费，但一旦开启组织（Organizations）、企业 SSO、B2B 场景，Pro 套餐 $20–300/月起跳，叠加 MAU 超量后中型项目轻松年付 ¥3 万–10 万。Auth0 走得更狠：免费层仅 7.5K MAU 且不支持 SSO，Essentials 起步 $35/月，企业版按连接器、MFA、攻击防护单独计费，年付常突破 $10K。对于需要把 SSO 卖给企业客户的 B2B SaaS，这笔钱几乎无法绕开——而这正是开源方案最锋利的切入点。 ```mermaid flowchart LR A[认证付费痛点] --> B1[Clerk
MAU 计费
20-300/月] A --> B2[Auth0
企业 SSO 解锁
年付破万] A --> B3[WorkOS
按连接数计费
B2B 奢侈品] B1 --> C[开源七剑
自托管服务器] B2 --> C B3 --> C C --> D[年省 ¥3万-10万
数据完全自持] ``` ## 三、七剑深度拆解 ### 剑一：Logto — 现代化的 Clerk 正面对手 **[logto-io/logto](https://github.com/logto-io/logto) | 约 24K★ | TypeScript | 本周活跃** - **核心功能**：基于 OIDC 与 OAuth 2.1 的认证授权基础设施，原生支持多租户（Organizations）、SSO、RBAC，官方定位"为 SaaS 与 AI 应用而生"。 - **上手难度**：⭐⭐（Docker 一条命令起服务，SDK 覆盖主流前端框架） - **变现评估**：这是七剑里变现路径最清晰的一把。目标用户是做 Next.js / 全栈 SaaS 的独立开发者和初创团队。可做产品形态：① Logto 托管服务（按 MAU 收费，对标 Clerk 但定价打六折）；② "给你的 SaaS 加上企业 SSO"训练营，¥299 一期，2 小时跑通 Organizations + SAML；③ 面向出海团队的 B2B 认证咨询，单项目 ¥5000 起。 - **训练营评估**：极佳。教学时长 2–3 小时即可让学员产出一个"带 GitHub 登录 + 多组织 + 角色权限"的完整 demo。学员收益是真切理解 OIDC 流程，而非只会调 `signIn()`。 - **差异化**：相对 Clerk，Logto 把 Organizations、企业 SSO、机器间通信（M2M）这些 Clerk 收费的功能放进开源版；相对 Keycloak，它的 DX 和管理后台颜值高出一个时代，专为现代前端设计。 ### 剑二：authentik — 企业内部的认证"万能胶水" **[goauthentik/authentik](https://github.com/goauthentik/authentik) | 约 16K★ | Python/Go | 持续高频 commit** - **核心功能**：自称"the authentication glue you need"，最大卖点是**可视化流程编辑器**——登录、注册、MFA、密码重置每一步都能在画布上拖拽编排，支持嵌入自定义 Python 逻辑与策略。 - **上手难度**：⭐⭐⭐（功能强意味着配置项多，但 docker-compose 可快速起步） - **变现评估**：偏向企业内训和私有部署服务。目标用户是需要统一身份中台的中大型企业（替代 Keycloak + 自研的混合方案）。可做产品：① 企业 SSO 落地咨询，单次 ¥2 万–8 万；② "authentik 可视化流程"系列课程，¥399 专栏，讲清 Outpost、代理认证、LDAP 同步；③ 面向学校的校园统一身份认证交付项目。 - **训练营评估**：适合做进阶营。3–4 小时能让学员搭出"SSO 门户 + 多应用代理 + 步骤式 MFA"，成果可直接放进简历。但需筛选有基础运维能力的学员。 - **差异化**：流程可视化是 authentik 杀手锏，Keycloak 要写 SPI、要用 XML，authentik 用拖拽和策略表达式，对非纯开发的安全/运维人员友好得多。 ### 剑三：Hanko — 押注"无密码未来"的 passkey 先锋 **[teamhanko/hanko](https://github.com/teamhanko/hanko) | 约 9K★ | Go | FIDO2 认证服务器** - **核心功能**：passkey / WebAuthn 优先的认证与用户管理平台，FIDO2 认证的 passkey 服务器 + 前端 Web Components，开箱即用 `` 组件。 - **上手难度**：⭐⭐（组件化程度高，复制粘贴即可集成 passkey） - **变现评估**：踩中了"密码消亡"叙事（iOS 18 密码应用、Android 凭据管理器、WebAuthn 普及），是内容营销的天然富矿。目标用户：注重安全体验的 B2C 产品、金融/医疗类应用。可做产品：① "24 小时给你的 App 加上 passkey"实战营 ¥399；② Hanko 托管 passkey 即服务，按月活收费；③ 面向安全合规行业的无密码方案白皮书 + 咨询。 - **训练营评估**：短平快，2 小时足够。学员收益是产出一个支持 Face ID/指纹/硬件密钥登录的 demo，截图发朋友圈很有说服力。 - **差异化**：当其他方案还在把 passkey 当附加项，Hanko 把它做成第一公民。相比 Stytch、Descope 这些 passkey 付费服务，Hanko 自托管完全免费。 ### 剑四：ZITADEL — 为 B2B SaaS 出海量身定做 **[zitadel/zitadel](https://github.com/zitadel/zitadel) | 约 11K★ | Go | 云原生多租户 IAM** - **核心功能**：云原生、多租户身份基础设施，原生支持 Organization 层级、审计日志、合规（GDPR），自带 SSO（OIDC/SAML）与细粒度权限。 - **上手难度**：⭐⭐⭐（多租户模型概念多，但单二进制部署友好） - **变现评估**：最适合卖给做出海 B2B SaaS 的团队——他们最头疼的就是"客户要企业 SSO + 审计合规"。可做产品：① "B2B SaaS 合规模块"训练营 ¥599，讲透 ZITADEL 的组织层级 + 审计日志；② 合规认证（SOC2、ISO27001）配套的身份方案咨询，客单价高；③ ZITADEL 私有化部署托管。 - **训练营评估**：偏进阶，4 小时。学员产出是"支持多企业客户、每客户独立登录策略、全程审计"的 B2B 认证中台，含金量高。 - **差异化**：内置审计日志与多租户是 Auth0 企业版才有的能力，ZITADEL 开源即给；单 Go 二进制、无外部数据库依赖，部署成本远低于 Keycloak。 ### 剑五：Casdoor — 中文友好、UI 优先的快速起手式 **[casdoor/casdoor](https://github.com/casdoor/casdoor) | 约 12K★ | Go | 中文文档完善** - **核心功能**：UI 优先的 IAM 平台，支持 OIDC/SAML/CAS 三协议、社交登录、内置用户管理控制台，开箱自带漂亮的登录注册页面。 - **上手难度**：⭐（七剑中最易上手，中文社区和教程资源丰富） - **变现评估**：训练营首选标的。目标用户是国内中小团队和教学场景。可做产品：① "1 小时给你的网站加上登录"入门营 ¥99，转化率高；② Casdoor 二次开发外包，接国内企业单子；③ 与 OAuth2/Casdoor 配套的认证原理体系课 ¥299。 - **训练营评估**：最佳教学项目。1–2 小时即可跑通"社交登录 + 自定义 UI + 用户后台"，门槛低、出活快，特别适合做引流课。 - **差异化**：支持 CAS（国内高校、政务系统常用）是它的独门优势——Keycloak、Logto 都不原生支持 CAS。中文文档与 casbin 同源团队背书，国内落地无障碍。 ### 剑六：SuperTokens — 灾备级会话管理，Auth0 的 DX 平替 **[supertokens/supertokens-core](https://github.com/supertokens/supertokens-core) | 约 14K★ | C# 核心 + Node SDK | 活跃** - **核心功能**：Core 用 C# 编写的高性能认证引擎，主打会话管理（session）的可靠性与水平扩展，提供 passwordless、社交登录、第三方 Email/Password 等多种方案组合。 - **上手难度**：⭐⭐（前后端 SDK 完善，recipe 模式按需引入） - **变现评估**：面向对会话稳定性要求高的中后端团队。可做产品：① "高并发下的认证架构"专题课 ¥399，讲 Core 集群、多实例会话同步；② SuperTokens 高可用部署托管服务；③ 从 Auth0 迁移的咨询交付（迁移本身就是付费刚需）。 - **训练营评估**：中等，3 小时。学员能理解 session/JWT/refresh token 的取舍，产出一个支持多实例的认证服务。 - **差异化**：会话管理的工程深度是 SuperTokens 的护城河——Core 单独可水平扩展、支持多数据库后端，这是 Clerk 这类一体化方案做不到的。C# 核心带来性能优势，适合高 QPS 场景。 ### 剑七：better-auth — 2026 年最受瞩目的认证库新星 **[better-auth/better-auth](https://github.com/better-auth/better-auth) | 约 10K★ | TypeScript | 增长极快** - **核心功能**：框架无关、TypeScript 优先的认证库，把账号、会话、社交登录、组织、passkey、2FA、RBAC、impersonation 全部做成可插拔插件，API 设计极其现代。 - **上手难度**：⭐⭐（库形态，集成进现有 Next.js/Hono 项目极快） - **变现评估**：踩中"build vs buy"天平回摆的趋势——越来越多团队嫌 SaaS 认证贵又黑盒，回归自建库。目标用户是全栈独立开发者。可做产品：① "用 better-auth 替代 Clerk"实战营 ¥299，2 小时迁移完；② better-auth 插件开发付费插件市场；③ 全栈模板 SaaS（含 better-auth + 计费 + 后台）源码售卖 ¥999。 - **训练营评估**：优，2–3 小时。学员产出是"一个功能不输 Clerk 免费版的认证模块，且代码全在自己仓库里"。 - **差异化**：库形态（非服务）意味着零基础设施成本、零厂商锁定、零数据外流。相比 Auth.js 的松散、Lucia 的极简，better-auth 把"功能完整"和"完全可控"这两个原本矛盾的需求捏到了一起，是 2026 年认证生态里最值得押注的新变量。 ## 四、项目分布全景图 ```mermaid quadrantChart title 开源认证七剑：可控性 vs 上手速度 x-axis "上手慢（重配置）" --> "上手快（开箱即用）" y-axis "服务形态（需部署）" --> "库形态（嵌代码）" quadrant-1 "快速集成" quadrant-2 "企业重型" quadrant-3 "深度定制" quadrant-4 "轻量内嵌" "Logto": [0.72, 0.78] "authentik": [0.28, 0.32] "Hanko": [0.82, 0.70] "ZITADEL": [0.35, 0.40] "Casdoor": [0.88, 0.75] "SuperTokens": [0.60, 0.65] "better-auth": [0.85, 0.22] ``` 从象限图可读出三条选型线索：**快速集成区**（右上）的 Logto、Casdoor、Hanko 适合做训练营引流课与中小项目；**企业重型区**（左上）的 authentik、ZITADEL 适合高客单价咨询与合规模块；**轻量内嵌区**（右下）的 better-auth 是独立开发者回归自建的最佳入口。 ## 五、变现潜力 Top 5 排行榜 | 排名 | 项目 | 变现方向 | 预估定价 | |------|------|----------|----------| | 1 | Logto | 托管服务 + B2B SSO 训练营 + 出海咨询 | 托管 ¥0.05/MAU；训练营 ¥299；咨询 ¥5000/项目 | | 2 | better-auth | 迁移实战营 + 全栈模板源码 + 插件市场 | 训练营 ¥299；模板 ¥999；插件分成 | | 3 | Hanko | passkey 即服务 + 安全合规白皮书 | 托管按 MAU；实战营 ¥399；咨询客单高 | | 4 | authentik | 企业 SSO 落地咨询 + 进阶流程课 | 咨询 ¥2 万–8 万/次；专栏 ¥399 | | 5 | ZITADEL | B2B 合规模块训练营 + 私有化部署 | 训练营 ¥599；部署托管年付 | 榜单逻辑：Logto 凭"现代 DX + 开源版即给企业功能"占据流量与变现双重高点；better-auth 以"回归自建"的新叙事紧随其后，且库形态几乎零交付成本；Hanko 吃 passkey 长期红利；authentik 与 ZITADEL 客单价最高但受众更窄，靠咨询而非走量变现。 ## 六、结语：认证是被低估的卖铲赛道 身份认证有三重属性让它成为绝佳的变现土壤：**刚需**（每个产品都要）、**付费意愿强**（企业 SSO 是真金白银的成单条件）、**替换有粘性**（一旦自托管，数据与流程沉淀在自家服务器，客户不会轻易走）。Auth0 与 Clerk 逐年抬高的账单，本质是在替客户承担"安全与合规"的责任溢价——而开源七剑的价值，就是把这份溢价交还到你手里。无论你是想做一门口碑引流课、一份高客单咨询，还是一套可复制的全栈模板，认证这条赛道都容得下不止一把剑。 ## 参考来源 1. [Logto — Authentication and authorization infrastructure for SaaS and AI apps (GitHub)](https://github.com/logto-io/logto) — Logto 官方仓库，OIDC/OAuth2.1 多租户认证方案核心能力说明 2. [Open Source Authentication in 2026: Complete Comparison — Skycloak](https://skycloak.io/blog/open-source-authentication-comparison-2026/) — 2026 年开源认证方案（Keycloak、authentik、ZITADEL、Ory、Gluu、Casdoor）横评 3. [Clerk vs Auth0 Pricing 2026 — Costbench / APICalculators](https://costbench.com/compare/clerk-vs-auth0/) — Clerk（$0–300/月）与 Auth0（$0–800/月）的真实计费阶梯与 MAU 成本测算 4. [API & Web App Auth Libraries 2026 Deep Dive — Auth.js v5 · Lucia · better-auth](https://www.youngju.dev/blog/culture/2026-05-16-api-web-auth-libraries-2026-authjs-v5-lucia-better-auth-clerk-stytch-workos-kinde-supertokens-frontegg-deep-dive.en) — 2026 年认证库（better-auth、SuperTokens、Auth.js）build-vs-buy 趋势深度分析 5. [Passkeys and WebAuthn in 2026 — FIDO2, Hanko, Logto, SuperTokens Deep Dive](https://www.youngju.dev/blog/culture/2026-05-15-passkeys-webauthn-2026-fido2-clerk-stytch-logto-supertokens-hanko-deep-dive.en) — passkey 无密码认证 2026 落地实践与 Hanko 等 FIDO2 方案对比 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。