8个开源授权/认证（OAuth）解决方案，适用于您的下一个项目

你有没有使用过Google、Facebook、LinkedIn或者Github等网站登录过其他网站？你是否曾经直接从云端（例如Google Drive）上传文件到其他网站？

这两种情况都是网站或应用程序获取你在其他网站或服务上存储的信息的例子。但是如何在不损害你的链接_0安全和向第三方应用程序提供凭据的情况下实现呢？

以Facebook为例，Facebook可以使用你在Google帐户中存储的联系人来在平台上找到你的朋友。为了让Facebook能够访问你的联系人并找到你的朋友，你需要给它访问你的Google帐户的权限。

几年前，这是以一种非常原始的方式实现的，你会将你的Google电子邮件地址和Gmail密码提供给Facebook，它将使用这些信息以你的身份登录你的Google帐户并访问你的联系人。不仅Facebook，许多应用程序都以这种方式实现了对存储在其他网站上的用户数据的授权。

由于有这么多第三方应用程序以这种方式实现授权，用户在访问服务时不得不牺牲安全性。恶意开发人员可能轻易地滥用用户的凭证，对用户造成伤害。这就是OAuth开发的原因。

根据IETF（互联网工程任务组）的定义，OAuth是一种授权框架，允许第三方应用程序代表资源所有者获取对服务的访问权限。OAuth允许用户对第三方应用程序授予有限的访问权限。

这使得应用程序可以访问它们的在线资源，比如其他应用程序中存储的配置文件或个人数据，而无需向试图访问资源的第三方应用程序透露他们的登录凭据。

这通常被称为委托访问，用户向第三方应用程序提供对托管在另一个服务上的资源的有限访问权限，而不共享他们的用户凭据。

OAuth 2.0是OAuth协议最广泛使用的版本，它是Web授权和身份验证的关键组件。

OAuth在移动应用程序身份验证、保护API、允许多个应用程序进行单点登录和委托访问方面被广泛使用，它还允许用户管理和控制授予第三方应用程序的权限。

使用开源OAuth平台的好处

开源OAuth平台指的是OAuth标准的开源实现。考虑到应用程序使用各种编程语言和框架开发，OAuth平台提供库和工具，使开发人员可以轻松地将OAuth功能集成到他们的应用程序中。使用开源OAuth平台的一些好处包括：

代码质量和透明度

开源平台允许用户访问其代码。这对于许多具有不同技能和经验的开发人员来说是有益的，他们可以审查代码并提出可能注意到的问题。

这有助于确保代码的质量是最高的，没有漏洞或错误。公司也可以审查代码，确定它在满足其需求方面的能力如何，然后再决定是否使用该产品。

成本效益

开源软件解决方案可以免费使用，因此可以帮助公司节省选择专有OAuth平台所需的成本。这有助于即使是没有大预算的公司也能确保用户的安全性不受损害。

避免供应商锁定

在使用开源OAuth提供商时，您可以轻松地在不必重新设计整个应用架构以适应新的供应商的情况下切换不同的OAuth提供商。

开源OAuth解决方案遵循广泛接受的标准，从而确保与其他系统的兼容性和互操作性。这使得在不同的开源解决方案之间切换变得很容易。

社区支持

开源解决方案通常得到一大批开发人员的支持，他们致力于改进并提供软件更新。这确保软件不仅与开发人员使用的许多工具兼容，而且软件的问题也可以更快地得到解决，因为总会有熟悉该软件的人愿意提供帮助。

评估开源OAuth平台的关键标准

在评估开源OAuth平台时，需要考虑一些关键因素：

安全和加密措施

重要的是您使用的开源OAuth解决方案具备可靠的安全和加密措施。

这是因为该平台处理访问资源。该平台应支持安全通信，并提供保护访问令牌的机制。

易于集成和开发人员友好的API

由于OAuth平台与应用程序集成，因此OAuth解决方案应提供清晰直观的API、文档和软件开发工具包（SDK），以简化集成过程。

该平台的终点也应有良好的文档，包括流行编程语言和框架的代码示例和库。

社区支持和活跃开发

一个强大的活跃用户和贡献者社区意味着资源周围存在着良好的环境。在这种情况下，这意味着OAuth不断得到改进和使用。

此外，活跃的社区可以提供有用的资源和支持，有助于您理解和使用开源OAuth解决方案。

可扩展性和性能

随着越来越多的人开始使用应用程序，应用程序的用户群体会不断增长。因此，您使用的任何OAuth解决方案应支持随着用户群体增长而进行扩展，并且应能够处理大量并发请求。

定制化和扩展选项

OAuth解决方案应具有高度可定制化的能力，以适应广泛的用户之间的不同业务需求和逻辑。简而言之，企业不应该根据OAuth平台构建其逻辑。

相反，OAuth解决方案应该具有足够的可定制性和可扩展性，使其能够在不改变业务逻辑的情况下进行实施。这可以通过允许添加自定义身份验证流程、声明和用户属性来实现。

考虑到以上因素，以下是一些最佳的开源OAuth解决方案，可在您的下一个项目中使用

SuperTokens

SuperTokens是一个开源的登录供应商，在初创公司（如HackeRank，Skoot和Food Market Hub）以及谷歌、Amazon和Meta等公司的工程师中被广泛使用。

SuperTokens提供了高度可定制、可扩展和可覆盖的组件，允许用户轻松地将用户身份验证集成到他们的应用程序中。

SuperTokens不仅易于集成和快速，而且还提供了预构建的用户界面，用于注册页面和开箱即用的用户身份验证功能。用户还可以使用SuperTokens提供的助手函数快速构建自己的登录功能。

使用SuperTokens，您可以实现邮箱密码登录、使用OAuth进行社交登录以及将passwordless login应用到应用程序。您还可以在同一登录界面中同时使用社交登录和邮箱密码登录。

Cerbos

Cerbos是一个开源的、与语言无关的可扩展授权平台，被Business Wire在2022年评为最佳API安全解决方案。

Cerbos是一个用于实现角色和权限的授权层，可以与多种身份提供商配合使用，包括Auth0、Magic、WorkOS、Okta和FusionAuth等。

Cerbos允许您集中管理所有应用程序的授权逻辑，并即时对应用程序处理授权和身份验证的方式进行更改。

此外，Cerbos提供了上下文感知的角色定义和属性，并暴露了一种与任何技术堆栈配合使用的与语言无关的API。

最重要的是，Cerbos既是无状态的，又是自托管的，可以托管在serverless平台、任何公共或私有云，甚至是私人数据中心。

Passport

Passport是Node.js框架中非常流行的身份验证中间件，用于对使用Node.js后端构建的应用程序进行身份验证。

身份验证是使用称为策略的插件完成的。Passport为开发人员提供了控制身份验证失败或成功时所采取的操作的钩子。

Passport提供了500多种身份验证策略，并支持使用OpenID和OAuth进行单点登录。它还支持持久会话、动态范围和权限、自定义策略的实现，以及在身份验证过程中轻松处理成功和失败。

此外，Passport.js不会在Node.js应用程序中挂载路由，并且不假设任何特定的数据库模式，因此允许开发人员做出所有应用程序级的决策。

Auth.js

Auth.js是一个开源的身份验证解决方案，适用于各种前端框架，包括Next.js、SvelteKit和SolidStart等。

Auth.js设计用于与各种OAuth版本配合使用。它支持与任何后端进行无状态身份验证、电子邮件/无密码身份验证以及与数据库会话一起使用JSON Web Tokens。

虽然Auth.js被设计用于无服务器架构，但它可以在任何地方运行，包括AWS Lambda、Docker和Heroku等。

Auth.js还保证用户对其数据拥有控制权，即使它具有对流行数据库（如MySQL、Postgres、MongoDB、SQLite、MariaDB和Microsoft SQL Server）的内置支持，也可以在没有数据库的情况下工作。

Auth.js在POST路由上使用跨站请求伪造（CSRF）令牌，加密JSON Web Tokens，并自动生成对称签名和加密密钥，以方便开发人员使用。

Keycloak

Keycloak是一个非常流行的开源身份和访问管理解决方案。Keycloak是一个基于标准协议的解决方案，支持OAuth 2.0、Security Assertion Markup Language（SAML）和OpenID Connect。

作为一个开源解决方案，Keycloak非常容易集成，并具有诸如单点登录之类的功能，该功能允许用户通过Keycloak的单一登录登录到多个应用程序。

这也使开发人员受益，因为他们不必处理验证和存储用户以及在其应用程序中创建登录表单。

Keycloak在应用程序集成方面表现出色。Keycloak允许您轻松添加使用社交网络登录应用程序的功能，而无需更改应用程序或代码。

所有这些都是通过管理控制台完成的，在管理控制台中，您还可以配置其他Keycloak功能，例如用户联合和身份代理。通过管理控制台，您还可以创建和管理应用程序和服务，并微调授权策略。

Apereo CAS

Apereo CAS是一个开源链接_16>解决方案和身份提供者。CAS支持广泛的身份验证协议，包括OAuth 2.0、SAML、OpenID、REST和WS-Federation等。

CAS具有内置的密码管理、通知、使用条款和模拟支持。

CAS还支持可插拔身份验证，将身份验证委派给外部身份提供者，例如Facebook、Twitter和OpenID Connect，并通过Google Authenticator、Authy、YubiKey、Acceptto和Inwebo等提供商进行多因素身份验证。

要使用CAS，最好与其官方支持的客户端平台一起使用，包括Java、.NET、Apache和PHP。

Ory Kratos

Ory Kratos是一个强大且功能丰富的面向云的用户管理系统。虽然Ory Kratos是用Go编写的，但它配备了适用于每种编程语言的SDK，以及可自定义的登录、注册和配置文件管理功能。

此外，Ory Kratos可以与任何UI框架配合使用，并且设置所需的最小代码。

Ory Kratos附带的一些值得注意的功能包括多因素身份验证与各种提供商的集成、自助式登录和注册、社交网络登录、账户验证和恢复以及用户管理。

用户管理允许在用户库中创建、更新和删除身份及其数据。最后，Ory Kratos允许使用可自定义的身份模型，您可以创建自己的界面并定义自定义字段，例如姓名、地址或最喜欢的宠物。

Logto

根据其文档，Logto是对Auth0的成本效益较高的开源替代方案，后者是一种专有的身份验证和授权解决方案。Logto提供了所有安全身份验证和授权所需的功能，而价格更加实惠。

Logto具有可立即使用的管理API，可用作身份验证提供者。它还具有允许将Logto与构建的任何应用程序轻松快速集成的SDK。

身份验证使用扩展了OAuth 2.0授权协议的OpenID Connect (OIDC)，而授权使用基于角色的访问控制（RBAC）。

使用LogTo，您的应用程序可以实现无密码登录、社交登录，并能够处理忘记登录凭据的用户。为了使开发更加简单快速，LogTo提供了漂亮的预建UI组件，并带有可自定义的CSS。

用户还可以访问其云平台，在其中可以自定义、集成和预览他们在应用程序中实施的身份验证。

结论

在将身份验证和授权功能添加到您的应用程序时，有各种开源解决方案可以为您和您的业务节省大量资金。考虑使用本文中分享的任何解决方案来保护您的业务和关键用户数据。

您还可以了解一些最佳链接。