什麼是 IAM（身份認證與存取管理）供應商？#
身份認證與存取管理（Identity and Access Management，IAM）供應商是一個確保資源安全且受控存取的系統。它結合以下四大支柱：
- 認證（Authentication）：驗證使用者身份（如密碼、生物認證、社交登入）。
- 授權（Authorization）：根據角色或政策分配權限。
- 用戶管理（User Management）：處理用戶建立、角色設定和稽核。
- 組織管理（Organization Management）：組織團隊架構、權限及多租戶管理。
IAM 工具對執行安全政策、防止資料外洩，以及合規如 SOC 2、GDPR 及 HIPAA 等標準至關重要。
選擇開源 IAM 解決方案的關鍵考慮因素#
以下是核心需求：
-
可整合的 SDK ＆多樣部署方式：
要確保與你的技術棧相容（如程式語言、框架、資料庫），並能提供主流部署選項（如 npm 套件、Docker 容器、GitPod 整合或一鍵托管）。這有助於縮短設置時間及加速產品上市。
-
協議支援，強化互通性：
必須支援 OAuth 2.0、OpenID Connect (OIDC)、SAML 和 LDAP，以利與第三方應用及身份供應商（Google、Apple、Azure AD 等）整合。開放標準可避免供應商綁定，並簡化聯合身份處理流程。
-
企業級模組化功能：
選擇具備模組化架構的方案，同時滿足現有需求並可隨業務成長擴展：
- 認證：密碼、無密碼、社交登入、SSO、生物認證、M2M。
- 授權：RBAC、ABAC、API 保護。
- 管理：用戶生命週期、稽核日誌、Webhooks、合規報表。
- 安全性：MFA、加密、密碼規則、阻擋暴力破解、機械人偵測、封鎖清單。選擇有透明安全政策（SOC2／GDPR 合規）的專案。
-
優化用戶體驗（UX） ：
優先考慮附有 預設認證流程（登入、註冊、重設密碼），可減低開發成本。確保用戶路徑直觀、行動友好且支援自定義，提升轉換率。
-
高度自定義及擴展性：
API 及 Webhook 應容許調整認證流程、介面主題和政策規則，滿足獨特業務需求。避免「黑箱」方案——傾向於開源、社群驅動的原始碼庫。
長期成功的分水嶺：
-
開發者體驗（DX）：
完整文件、原始碼範例與沙盒實驗環境（如 Postman、CLI 工具），再配合低程式碼後台，便捷部署、減少失誤。
-
社群支援 & 企業服務：
活躍社群（Discord、GitHub）提供問題排解、經驗分享。企業級支援服務（SLA、專屬工程團隊）可保障關鍵應用的可靠。
-
可擴展性：
定期更新，涵蓋超前漏洞與新興標準（如 FIDO2）。混合部署（開源 + 雲端）可簡化擴容並減少運維負擔。
這些標準對開源專案而言或許嚴格，但現今已出現可達標的服務，以下帶你逐一了解。
開源 IAM 方案五強#
- Logto ：開發友善的 IAM，結合認證、授權、用戶管理和多租戶於一身，框架無綁定、支援 OIDC/OAuth/SAML，100% 免費開源。
- Keycloak ：企業級協議巨擘（SAML/OAuth/LDAP），適合強調細緻存取控管以及自託管需求的組織。
- NextAuth ：針對 Next.js 開發者設計的輕量認證函式庫，讓社交登入、無密碼認證及 session 管理變得容易。
- Casdoor ：以 UI 為主導的 IAM 與 SSO 平台，自帶網頁介面，支援 OAuth 2.0、OIDC、SAML、CAS、LDAP 及 SCIM。
- SuperTokens ：基於 OAuth 2.0 的認證解決方案，兼具開源彈性及企業級擴展性。
#1 Logto#
Logto 是一款開源的現代身份認證平台，可作為 Auth0、Cognito 和 Firebase Auth 的替代選擇，支援 OIDC、OAuth 2.0 及 SAML 等開放協議，滿足 SaaS 及應用程式的身份驗證與授權所需。
主頁 | GitHub 倉庫 | 文件 | Discord 社群
Logto OSS 主要功能#
- 支援協議： OIDC、OAuth 2.0、SAML 2.0
- 官方 SDK ：
- 官方 SDK： Android、Angular、Capacitor JS、Chrome 延伸、.NET Core、Expo、Express、Flutter、FlutterFlow、Go、Java Spring Boot、Next.js（Page 及 App Router）、Auth.js（NextAuth）、Nuxt、Passport.js、PHP、Python、React、Ruby、SvelteKit、iOS、Vanilla JS、Vue、Webflow、WordPress、Hasura 及 Supabase。
- 自定義應用整合：傳統網頁、SPA、行動應用、M2M、OAuth 應用、SAML 應用。
- 認證方式： 密碼、Email / SMS 無密碼、社交登入、企業 SSO、MFA（認證器 TOTP / Passkey / 備用碼）、Personal Access Token、Google One Tap、邀請碼、帳號連結、OAuth 授權畫面。
- 授權功能： API 保護、用戶/M2M RBAC、組織級 RBAC、JWT/不透明 Token 驗證、自訂聲明。
- 多租戶： 組織模板、成員邀請，各組織 MFA、即時配置入職（JIT）、每租戶自定登入流程。
- 用戶管理： 用戶冒充、用戶建立與邀請、停權、稽核日誌、用戶搬遷／轉移。
- 用戶體驗： 提供美觀、開箱即用且完全可自定的認證流程，支援跨多應用、統一身份單點登入的體驗。
- 供應商整合：
- 社交登入： Google、Facebook、Microsoft、Apple、GitHub、X.com、LinkedIn、Slack、Amazon、Discord、Line、微信、Kakao 等。支援 OIDC／OAuth 2.0 完全自定義。
- 企業身份供應商： Microsoft Azure AD、Google Workspace、Okta 等。支援 OIDC 或 SAML 全面自定。
- Email 通知供應商： AWS、Mailgun、Postmark、SendGrid 等，支援 SMTP／HTTP 呼叫配置。
- SMS 通知供應商： Twilio、SMS Aero、GatewayAPI、Vonage、阿里雲、騰訊雲等。
Logto OSS 優點#
- 100% 免費開源： 所有核心功能（含 SSO、RBAC、組織等）全都免費，無任何基本功能付費牆。
- 企業級安全性： SOC2-ready 架構，MFA、SSO、API 保護、多租戶隔離、暴力破解阻擋、稽核日誌。
- 可做身份供應商： 使用 Logto，能將你的服務變成身份供應商，跨多應用、平台、設備無縫整合。支援 OIDC、OAuth 2.0 及 SAML 2.0，開啟泛用單點登入與聯合身份識別。
- 生態圈整合好夥伴： 支援 M2M 認證、个人访问令牌、用户冒充（令牌交換）、第三方應用 OAuth 授權同意頁，以及自定義第三方身份供應商接入，助力產品成長。
- 開發者友好： API、SDK、文件結構完善，管理後台簡潔易用。
- 靈活部署： Logto 開源版免費，Logto Cloud 則提供有保證維護和長期支援的託管服務。
- 活躍社群： 有回應效率高的 Discord 社群，核心團隊積極推動，議題能快速跟進解決。
- 輕量現代化： 建構於現代設計準則，兼顧速度及效率，小團隊、初創、企業皆適合。
Logto OSS 缺點#
- 導向式認證流程： 採用 OIDC，需導向到身份供應商，無法滿足完全無跳轉需求。惟 Logto 提供可內嵌的元件（如 Social、SSO），可部分解決此限制。
- B2E 功能略弱： 尚無內建 LDAP/AD 同步及極細緻的授權控制。
- 生態圈新興： 社群規模較老牌方案小，但發展迅速。
#2 Keycloak#
Keycloak 是企業級 IAM 解決方案，提供強大 SAML、OAuth、LDAP 支援，非常適合重視協議彈性、自託管與細緻存取控制的組織。
主頁 | GitHub 倉庫 | 文件 | Slack 社群
Keycloak 功能#
- 協議： OIDC、OAuth 2.0、SAML 2.0、LDAP
- 官方 SDK： Java、JavaScript、Node.js、C#、Python、Android、iOS、Apache HTTP Server
- 認證方式： 單點登入（SSO）、多因子驗證（MFA）、社交登入、Kerberos。
- 用戶體驗： 開箱即用登入界面、帳戶管理主控台，支援 HTML、CSS、Javascript 客製化。
- 細緻授權： 可根據角色、屬性或其他條件配置存取控制。
- 目錄同步： 能跟企業目錄（LDAP/Active Directory）同步。
- 可插拔架構： 支援自訂擴充與整合。
Keycloak 優點#
- 企業全方位功能： 如 SSO、MFA、身份中介、用戶匯整、支援多項協議（OAuth 2.0、OIDC、SAML）。
- 自訂 UI 與管理設定豐富： 預設登入 UI 和後台主控台可主題化及擴展。
- 整合擴充力強： 可與外部身份來源（LDAP/AD、社交登入）整合，亦支援自訂外掛擴充。
- 社群活躍、持續開發： Red Hat 支持，更新積極，長期安全有保障。
Keycloak 缺點#
- 學習曲線陡峭： Realms、Client、認證流程配置較複雜，IAM 新手易感困擾。
- 客製化挑戰多： 虽然彈性強，UI 微調需操作 FreeMarker 模板或客製 SPI，過程繁瑣。
- 維護成本高： 主、次版本更新頻繁，升級需同步 Server & Client Library，維護成本大。
- 資源耗用大： 高可用或容器化部署環境，CPU/RAM 需求高，需精調效能。
- 文件斷層： 基本說明完整，但進階應用與各種特例文檔尚欠缺細緻或及時更新。
#3 Auth.js/NextAuth.js#
NextAuth.js 是專為 Next.js 打造的輕量級認證庫，用最少設定就能搞定社交登入、無密碼認證及 session 管理，非常適合 Next.js 應用。
主頁 | GitHub 倉庫 | 文件 | Discord 社群
NextAuth.js 功能#
- 支援協議： OAuth 2.0、OIDC
- 支援框架： Next.js、Node.js 及無伺服器平台（如 Vercel、AWS Lambda）
- 認證方式： 社交登入、魔法連結、密碼認證、WebAuthn（Passkey）。
- 認證流程體驗： 預設登入、登出、出錯與驗證頁面，可自定義，實現自家品牌風格的認證體驗。
- Session 管理： 支援 JWT 無狀態 session 及資料庫型 session。
NextAuth.js 優點#
- Next.js 無縫整合： 量身打造 Next.js，完美支持 SSR、SSG、API Route。可用
useSession hoook 及 SessionProvider 輕鬆管理認證狀態。
- 認證流程彈性大： 內建 sign-in、JWT、Session callback，可深度自定處理，獲得高度主控權。
- 社群資源豐富： 討論、教學、範例眾多，遇問題易找到解法。
NextAuth.js 缺點#
- IAM 功能薄弱： 無 SAML、SSO、MFA、多租戶等進階需求。只專注於認證，未內建授權或用戶管理。
- 文件混亂： 文件分散、更新慢，新舊版本、App 目錄結構切換時特別難用。
- 穩定性與 Bugs： 不少開發者發現 Session 處理、Refresh Token 有 Bug，偶有異常需用 workaround。
- 學習門檻不低： API 設計和設定方式，初學者難以上手。尤其 v5 beta 之後，破壞性更新變多。
#4 Casdoor#
Casdoor 是 UI 導向的身份存取管理（IAM）／單點登入（SSO）平台，自帶網頁 UI，支援 OAuth 2.0、OIDC、SAML、CAS、LDAP、SCIM、WebAuthn、TOTP、MFA、RADIUS、Google Workspace、Active Directory 及 Kerberos。
主頁 | GitHub 倉庫 | 文件 | Discord 社群
Casdoor 功能#
- 協議支援： OAuth 2.0、OIDC、SAML、CAS、LDAP、SCIM
- 官方 SDK ： Android、iOS、React Native、Flutter、Firebase、Unity 遊戲、uni-app、Electron、.Net Desktop、C/C++、Javascript（Only Frontend）、React、Next.js、Nuxt、Vue、Angular、Flutter、ASP.NET、Firebase、Go、Java、Node.js、Python、PHP、.NET、Rust、Dart、Ruby。
- 認證方式： 賬號密碼、Email / SMS 驗證碼、社交登入（OAuth / SAML）。
- 身份管理： 有集中式控制台，管理用戶、角色、權限、多租戶及稽核日誌。
- UI 與流程自定義： 內建 UI 模板，可自定登入方式、註冊欄位、認證流程。
- 存取控管： 支援 RBAC，並可與 Casbin 等進階授權方案集成。
- 多租戶： 一套系統可管理多個組織／專案。
Casdoor 優點#
- 彈性整合： API、SDK、身份供應商豐富，易於串接多端與第三方服務。
- 多租戶及身份聯邦： 內建多租戶、多身份來源，適合需管理多客戶、子公司組織。
- 開源活躍社群： 社群參與度高，Casnode、QQ 群組等有討論、維護與定期更新。
Casdoor 缺點#
- 安全性須注意： 曾發生過 SQL 注入（CVE-2022-24124）、任意檔案讀取等漏洞，須嚴格設定安全參數並及時升級。
- UI 設計較舊： 開箱 UI 與現代化認證解決方案比有點過時，往往需自行美化。
- 企業級支援有限： 功能雖豐富，但部分進階功能還不夠成熟，可能要額外自定義開發。
- 學習曲線陡峭： 進階客製需懂 Golang、React.js，非相關技術團隊會吃力，Swagger API 文件易缺細節。
#5 Supertokens#
開發者為核心的認證解決方案，融合開源透明度及商業級彈性，提供無密碼、MFA 及現代 App 架構專用 session 管理。
主頁 | GitHub 倉庫 | 文件 | Discord 社群
Supertokens 主要功能#
- 協議支援： OAuth 2.0
- 支援框架和雲平台：
- 框架： Next.js App Router、Next.js Pages Router、NestJS、GraphQL、RedwoodJS、Capacitor。
- 雲平台： AWS Lambda、Netlify、Vercel、Hasura、Supabase。
- 認證方式：
- 免費版： 密碼、Email／SMS 無密碼、社交登入。
- 付費版： 多租戶認證、企業 SSO（SAML）、MFA（TOTP／Email OTP／SMS OTP）、帳號連結。
- 預設 UI 元件與自定認證流程： 內建註冊、登入、重設密碼等 UI 元件，支援自定流程。
- 多租戶支援（付費）： 一套系統管理多組織／應用，支援企業級 SSO（SAML 連接）、用戶資料隔離、每租戶自訂登入。
- 風險評估（付費）： 攻擊防護工具套件，分析登入行為並分配風險分數，風險高時可強制 MFA。
Supertokens 優點#
- UI 導向清楚： SDK 及認證方式分成內建 UI 和自訂 UI，整合彈性高。
- 輕量＆專注認證： 專為認證打造，不帶多餘複雜功能，開源版含所有基本需求，小團隊或新創很適合。
- 積極開發： 持續更新新功能，GitHub 社群活絡。
Supertokens 缺點#
- 開源功能有限： 高級如帳號連結、多租戶認證、擴展使用者數、MFA、防禦模組需付費。
- 企業整合有限： 尚無 SAML 應用型整合，與傳統系統兼容度有限。
- 功能聚焦單一： 著重「認證」本身，後台管理簡單，缺進階授權、多租戶管理及企業級身份特色。
- 生態圈規模小： 第三方插件、整合數量少於大型 IAM 方案，社群較小，日後擴展和長期支援要注意。
開源 IAM 方案類型多樣：
- 全面彈性型： 如 Logto、Keycloak、Casdoor，功能覆蓋認證、授權、用戶管理。
- 純認證／授權型： 如 Supertokens，專注身份驗證。
- 輕量框架型： 如 NextAuth.js，為特定框架而設。
選擇方案時，要考慮專案規模、具體需求及未來擴展。
Logto 以完全免費、全功能與活躍社群脫穎而出，並支援全部主流協議，在用戶管理、認證、授權模組上極為完整且彈性。若你需企業級合規和穩定性，Logto Cloud 提供有保障的移轉與專屬支援，兼顧成本效益。
