Logto：面向 SaaS 与 AI Agent 的开源现代化认证基础设施

当 “auth 现代化” 成为 SaaS 的硬约束

SaaS 与 AI Agent 这两类产品对 auth 的诉求，比十年前复杂得多：

• 多租户成为标配：每个 Organization 下还要分角色、配 SSO、配 Branding；
• 协议不能只支持 OIDC，还得兼顾 SAML（给企业 IT 用）、OAuth 2.1（给新场景用）、MCP（给 AI Agent 用）；
• 上游消耗方从"网页 + 移动 App"扩展到"AI Agent 替用户取数据"，这意味着 access token 的 owner 不一定是真人；
• 开发者体验要足够"无脑"：不想让前端工程师花两周调通 PKCE（Proof Key for Code Exchange，OAuth 里防截获授权码的扩展）。

这正是 logto-io/logto 想填的空白。它把自己定位为 “the modern, open-source auth infrastructure for SaaS and AI apps”，口号是"takes the pain out of OIDC and OAuth 2.1"。

核心能力矩阵

阅读 README 后可以把它抽象成四层：

最后一层是它这两年差异化的重点。MCP（Model Context Protocol）让 LLM 像 client 一样连接受保护资源，access token 由用户授出但实际由 Agent 调用——这种 “delegated authority” 模式传统 Auth0/Keycloak 都没有一等公民支持，Logto 在协议和 API 层补了上来。

架构总览

仓库（master 分支）是一个 monorepo（单一仓库多包），核心服务大致这么划分：

• @logto/core：核心领域模型、协议实现、Organization/Tenant 数据结构；
• @logto/console：面向运维/管理员的 Web 控制台；
• @logto/elements：登录 / 注册 UI 组件（Vanilla JS / React / iOS / Android 一套 API）；
• @logto/phishing-resistant：WebAuthn / Passkey（基于 FIDO2 的无密码凭据）相关组件；
• 多个 connector：@logto/connector-*，每个对应一个第三方身份源（Google、GitHub、微信、阿里云 RAM 等）。

数据库方面默认使用 PostgreSQL，多租户通过 tenant_id 隔离所有表——这是它"开箱支持多租户"的具体实现方式，而不是事后叠加租户中间件。

三种接入路径

README 给得很直白：

1. Logto Cloud（托管版）：零部署，30 秒拉起一个生产级 auth；
2. GitPod 一键 demo：在浏览器里跑全栈；
3. 本地开发：Docker Compose / 裸 Node 18+ 都可以，对照 docs.logto.io 起步。

SDK 覆盖 30+ 框架，主流的 React、Next.js、Vue、Angular、Svelte、Remix、Express、Fastify、Spring Boot、Flask、ASP.NET Core 都直接 npm i @logto/{framework}，核心 API 几乎一致——这种"一份 SDK，多端复用"对组织内多语言栈团队很关键。

和 Auth0 / Keycloak 的实际差距

把 Logto 放进和老牌方案并列的真实考题时，三者差异比想象中小：

• Auth0：商业化最重，新合同价格陡升，最贵的不是技术而是"用户数 × MAU（月活跃用户）"；自托管方案对外能力裁剪。Logto 完全开源 + 自托管无功能阉割。
• Keycloak：Java 系重型方案，主题、Provider、Mapper 体系极成熟，但部署、运维、扩展主题本身都需要专门团队；Logto 用 TypeScript/Node 写，整体更轻量。
• Logto：节奏上更偏现代 SaaS/AI 工作流，多租户与 Organization 是头等公民，MCP 一类新协议跟进速度快；但生态年限只有几年，企业级 Federation / Compliance 细节（HIPAA、BAA、政府级等保）暂时不如前两者老练。

结论是：如果目标是"快速给一个新兴 SaaS / AI Agent 上完整 auth"，Logto 是目前最短路径之一；如果目标客户是大型企业的传统 IT 采购流程，仍要先评估 Keycloak/Auth0 的企业能力。

适用与不适用

适用

• 多租户 SaaS 需要 Organization / RBAC / SSO 三件套，避免自己拼；
• 产品形态涉及 AI Agent 调用受保护资源，需要 delegated token；
• 团队希望一份 SDK 跨 Web / iOS / Android / 后端；
• 不想为 MAU 增速触发商业授权费。

不适用

• 重型企业 IT，需要 SAML IdP（Identity Provider，身份提供者）、SCIM outbound、审计合规全栈支持；
• 必须与既有 LDAP / Active Directory 联邦；
• 对 Node.js 运行时或 PostgreSQL 有合规限制的环境。

小结

Logto 把"协议封装 + 多租户 + 现代化体验"三件事做成一站式，相比传统方案更轻、面向 AI Agent 的支持更新，对新兴 SaaS 是当下值得评估的候选。是否选它，仍然要回到"客户需不需要企业级 IT 老能力"这一现实问题——对纯 B2B SaaS 起步阶段来说，多数答案都会倾向"用 Logto，先跑起来"。

链接

• 仓库：https://github.com/logto-io/logto
• 文档：https://docs.logto.io
• OpenAPI 浏览器：https://openapi.logto.io
• Cloud：https://cloud.logto.io
• License：MPL-2.0（核心，部分 connector 走各自协议）