你自托管了二十个服务，结果每个都要单独注册账号、记住二十套密码；或者你在做一个 SaaS，光是「登录注册改密码」就耗掉两周工期。登录是被严重低估的刚需基建——本期聚焦身份认证与统一登录（IAM）这个方向，从 30k Star 的老牌巨兽，到千星级单二进制小钢炮，按「大而全 → 轻量门卫 → 小而美」的梯度挖了 8 个仓库。它们共同回答一个问题：把「你是谁」这件事的判定权，拿回自己手里。文中 Star 数为约数，以仓库实时数据为准。
仓库：keycloak/keycloak | Star 约 3 万 | 长期高频发版
一句话定位：Red Hat 系出品的开源身份平台，能用协议基本覆盖你听过的所有认证方式。
痛点：企业里既有支持 OIDC 的新应用，也有只会 SAML 的祖传系统，还有存了十年账号的 LDAP/AD。Keycloak 是少数把这三者全吞下的选手：OIDC、OAuth2、SAML 三协议原生支持，LDAP/AD/Kerberos 用户联邦开箱即用，社交登录通过身份代理（Identity Brokering）一拖即连。
拆解：扩展靠 SPI（Java 插件机制），登录页靠 Theme 体系整套换肤，所有管理操作都有 Admin REST API 可编程化。集群方案成熟，是本期唯一经过大规模生产锤炼的选项。代价是 JVM 的内存胃口和不小的运维复杂度，升级大版本前要仔细读迁移文档。
上手难度：⭐⭐⭐⭐
适用人群：需要对接企业遗留系统、跑等保合规的团队。二开方向：老系统 IAM 改造与迁移服务、信创环境适配，都是真金白银的咨询生意。
仓库：goauthentik/authentik | Star 约 1.7 万 | 活跃维护
一句话定位：界面漂亮、流程可编排的现代化统一登录平台，背后已有商业公司（Authentik Security）全职运营。
痛点：Keycloak 太重、界面是「运维审美」，小团队想要一个既能自用又能卖给客户的体面登录方案。
拆解：核心亮点是 Flows——把登录、注册、找回密码做成可视化编排的流程图，可以插入任意验证步骤而不改代码；Application Proxy（Go 写的 outpost）能给完全没有鉴权的内网应用从外面套一层登录壳；SCIM、LDAP outpost、RADIUS 等协议适配齐全。Python 后端 + 前后端分离架构，二开门槛比 Java 低一档。
上手难度：⭐⭐⭐
适用人群：想给公司统一入口、又在意颜值和文档的中小团队。二开方向：基于它做「中小企业托管登录」代维服务，或嵌入行业解决方案当账号中台。
仓库：authelia/authelia | Star 2 万+ | 活跃维护
一句话定位：反向代理层的鉴权中间件——应用不需要知道「登录」这回事，门卫在门口把人拦下。
痛点：Grafana、Router 面板、自建 Wiki……这些服务有的压根没有多用户体系，你不可能挨个改造。
拆解：原理是 Forward Auth：反向代理收到每个请求，先转身问一句 Authelia「这人进来过吗」，没登录就 302 到登录页，登录过才放行到后端。授权规则用 YAML 按域名/路径精细控制（比如 /admin 只许管理员组），二步验证支持 TOTP 和 WebAuthn，存储从文件、SQLite 到 Postgres 随意选，近年也补上了 OIDC Provider 能力。
flowchart LR
U["用户请求"] --> P["反向代理"]
P --> A["Authelia 鉴权"]
A -->|未登录| L["跳转统一登录页"]
A -->|已放行| S["内网应用"]
上手难度：⭐⭐⭐
适用人群：Homelab 玩家和自托管重度用户。二开方向：打成 NAS 生态的一键应用、做成面向小白用户的「家庭网络门禁」付费镜像。
仓库：zitadel/zitadel | Star 1.4 万+ | 活跃维护
一句话定位：瑞士团队用 Go 写的 IAM，天生为「一个实例服务 N 个租户」而生。
痛点：做 SaaS 最头疼的是租户隔离——每个客户一套组织、角色、品牌登录页，多数 IdP 要靠暴力起多个实例硬凑。
拆解：数据模型原生分 Organizations → Projects → Roles 三层，多租户是一等公民而非补丁；API 走 gRPC-first，所有控制台操作都有对等的编程接口，适合「登录系统被代码调用而不是被人点」的场景；内置审计日志，谁在什么时候动了什么权限，开箱可查。部署单容器起步，官方同时提供云版本验证商业模式。
上手难度：⭐⭐⭐
适用人群：正在造多租户 SaaS 的独立开发者和产品团队。二开方向：本期商业潜力之最——直接拿它当垂直行业（医疗、教育、政企）SaaS 的账号底座，省掉自研 IAM 的半年工期。
仓库：logto-io/logto | Star 约 1 万 | 活跃维护
一句话定位：华人团队（Silverhand）打造的开发者体验极佳的认证方案，OSS + 云双轨。
痛点：独立开发者想要的不是一台「身份服务器」，而是一个接进代码就完事的登录组件——最好连登录页都不用设计。
拆解：招牌是登录体验编辑器——注册/登录页在后台拖拽配置，Logo、文案、社交登录按钮实时预览；Connectors 体系把 Google、微信、短信、邮箱等几十种登录渠道标准化成一个接口；RBAC、Organizations（B2B 多租户）、机器对机器（M2M）凭证均有覆盖。技术栈 TypeScript + Postgres，前端工程师可以无障碍二开。注意部分高级 B2B 特性走商业授权，部署前看清许可证边界。
上手难度：⭐⭐
适用人群：做出海产品、在意登录页观感的独立开发者。变现思路：官方云服务已验证付费路径，你可以照此思路做行业模板（如跨境电商登录套件）。
仓库：pocket-id/pocket-id | Star 千级、增速飞快 | 维护中
一句话定位：只支持 Passkey 的极简 OIDC Provider，专为 Homelab 统一登录设计。
痛点：家里跑了十几个服务，想上 SSO，但 Keycloak 吃掉 1GB 内存、配置项看得头晕——你只想要「扫码/按指纹，进去」。
拆解：设计哲学是做减法：没有密码，登录只认 Passkey（WebAuthn），攻击面直接砍掉一大半；单容器 + SQLite，资源占用可以忽略不计；所有需要接入的服务只要配一个 OIDC Client ID/Secret。它把「自托管 SSO」的门槛从半天压缩到五分钟，因此在 Homelab 社区口口相传、曲线陡峭。
上手难度：⭐
适用人群：Homelab 用户、想要轻量 SSO 的小团队。二开方向：打包进各类 NAS 应用商店、做一个「Homelab 套件」的分发入口。
仓库：sebadob/rauthy | Star 千级 | 维护中
一句话定位：Rust 写的 IdP，一个二进制文件 + 几十 MB 内存，把认证服务器塞进最低配的 VPS。
痛点：「我想自己跑个 IdP，但租的 5 美元小鸡扛不动 Java。」
拆解：单二进制免依赖部署，内置 SQLite（也可切 Postgres），内存占用几十 MB 量级；协议面却不寒酸——OIDC 齐全、Passkey 支持积极跟进，暴力破解防护、静态加密、自动 housekeeping 都内置；配置走 TOML，文档站 docs.rauthy.io 写得意外清楚。作者单人长期高频维护，Release Notes 密度惊人，是典型的「一个人扛起一个品类」项目。
上手难度：⭐⭐⭐
适用人群：资源敏感的边缘部署、安全极客。被低估原因：没有商业化推手，全靠口碑传播——恰好是捡漏的好时机。
仓库：Bubka/2fauth | Star 千级 | 维护中
一句话定位：自托管的网页版验证器，替代 Google Authenticator。
痛点：手机丢 = 全部二步验证码陪葬；换机迁移 导出到此为止还手忙脚乱；想在电脑上登录，还得伸手拿手机对码。
拆解：PHP/Laravel 写的传统优雅小工具：浏览器里直接管理所有 TOTP/HOTP 账号（连 Steam OTP 都照顾了），分组、图标、收藏、搜索一个不少；提供 API，能脚本化管理验证码条目；数据存自己服务器，配合每日备份，「丢手机丢人生」的恐惧彻底解除。部署就是一套标准 PHP 应用，宝塔/Docker 都能秒装。
上手难度：⭐
适用人群：所有用二步验证的普通人，尤其是多设备办公者。二开方向：团队场景的「验证码交接」——员工离职时把客户后台的 2FA 平滑移交给继任者，这是企业真实付费点。
Star 数为约数（截至撰稿），请以仓库页面实时数据为准。
| 仓库 | 定位 | Star 量级 | 上手难度 | 最适合 |
|---|---|---|---|---|
| Keycloak | 企业级全协议 IAM | ~30k | ⭐⭐⭐⭐ | 大企业、遗留系统 |
| Authentik | 高颜值全功能 IdP | ~17k | ⭐⭐⭐ | 中小团队统一入口 |
| Authelia | 反代鉴权中间件 | 20k+ | ⭐⭐⭐ | Homelab 门禁 |
| Zitadel | 多租户身份底座 | 14k+ | ⭐⭐⭐ | SaaS 创业团队 |
| Logto | 开发者友好登录组件 | ~10k | ⭐⭐ | 出海独立开发者 |
| Pocket ID | Passkey 极简 SSO | 千级↑ | ⭐ | Homelab 新手 |
| Rauthy | 单二进制 Rust IdP | 千级 | ⭐⭐⭐ | 低配 VPS/边缘 |
| 2FAuth | 自托管验证码管理 | 千级 | ⭐ | 所有两步验证用户 |
mindmap
root((自托管身份基建))
大而全平台
Keycloak
Authentik
Zitadel
开发者组件
Logto
轻量门卫
Authelia
小而美
Pocket ID
Rauthy
2FAuth
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。