简体中文
你需要为应用构建自己的身份验证系统吗？
我看到很多开发者提问“我应该为我的应用构建自己的身份验证系统吗？”。虽然答案不能简单地说“是”或“否”，但我想写一篇文章来细述实现过程，并举出优缺点，帮助你做决定。
Gao
Founder
Founder
我看到很多开发者提问“我应该为我的应用构建自己的身份验证系统吗？”。虽然答案不能简单地说“是”或“否”，但我想写一篇文章来细述实现过程，并举出优缺点，帮助你做决定。
我见过很多开发者提出诸如“我应该为我的应用构建自己的身份验证系统吗？”这样的问题。虽然答案不能简单地说“是”或“否”，但我想写一篇文章来详述实现过程，并题出优缺点以帮助你做决定。
** 简单总结 ** 除非你真的想要完全控制或者你还在学习软件开发，否则找到一个符合你需求的现有解决方案是必要的。
作为开发者，我在职业生涯中构建了许多应用。无论编程语言如何，我总是需要构建一个共同的基础：用户身份验证。
回溯 20 年前，它是字可忽视的部分，因为一切都简单明了：
就这样。然后我就可以专心去做“真正的业务”。没有听说过 MD5？你错过了软件开发的“美好时光”。而现在，开发者在构建登录/注册时面临更多挑战。
虽然听起来危言耸听，但让我通过一个例子进行说明。
假设你正在试图用一个 API 服务和一个 web 前端应用来构建一个在线书店。
首先，应该定义“身份验证”的范围。身份验证可以解释为身份认证和授权，并且它们有完全不同的定义和用例：
我写了一篇文章 CIAM 101: 身份认证，身份，SSO 详细讨论了这些概念。
让我们从“身份认证”开始，这在我们的例子中是用户登录。除了用户名和密码方法，这里有一些人们正在采用的趋势方法，以便更好地进行用户转换和安全性：
方法的选择取决于商业决策，而我们可以看看技术上的努力：
[email protected] 登录时，您可以将此电子邮件地址与书店的用户 foo 关联。这个过程帮助你构建一个统一的身份系统，并允许用户在未来修改或取消他们的社交身份的链接。在你决定了身份认证方法后，为你的最终用户提供优雅流畅的登录体验是下一个目标。这里的转化率对于业务来说基础但至关重要，因为这是留存客户数据的自然方式。
当我在 Airbnb 工作时，有一个整个团队致力于优化多平台的登录体验。他们进行了大量的 A/B 测试，以确定哪种组合有最高的转化率。
在一项业务刚刚启动时，这样做可能不切实际。但我们仍然需要尽我们最大的努力使每一部分都做对。你想在哪些平台上运行书店？你可能会从移动，web 或两者开始。确切的设计将取决于你选择的身份认证方法：
要使其更好，需要考虑的更多事情：
如果你选择使用原生开发，额外的一个平台的工作量几乎会增加一倍。
安全可能是一个隐藏的冰山。如果你熟悉 OpenID Connect 或 OAuth 2.0，那就很好，因为它们被广泛使用并且经过了战斗测试。OpenID Connect 相对较新，但是设计用于“用户身份认证”，这对在线书店来说非常合适。
不深入探讨这些标准的细节，仍然有一些需要考虑的事情：
最后，你可以提供一个好的登录体验，将其提供给你的客户。
作为一个书店，你需要为客户和卖家分别资源。例如，客户可以浏览所有的书籍，而卖家可以管理他们正在销售的书籍。一开始用简单的 if-else 检查就可以了；但是，随着业务的增长，你可能需要利用一个更灵活的模型，如基于角色的访问控制（RBAC）或基于属性的访问控制（ABAC）。
我也写了一篇文章 CIAM 102: 授权 & 基于角色的访问控制 来演示基本的授权理念和 RBAC 模型。
你可以看到身份验证不是一个“你要么有，要么没有”的问题，因为它涉及多个技术组件，你或你的团队在这些领域可能有不同的技术专长。把它拆成较小的部分，以获得对现状的更好理解，是很重要的。
为了做决定，我会问自己以下问题：
根据以上问题，我发现了两个事实：
所以我决定启动一个专门的项目（Logto）用于身份验证，并从一开始就拥抱开源社区。
希望这篇文章对你有所帮助。