https://txtmix.com/tags/oidc/Recent content in OIDC on Text MatrixHugozh-cnTue, 21 Jul 2026 20:06:14 +0800https://txtmix.com/posts/tech/logto-io-logto-modern-auth-infrastructure-guide/Mon, 29 Jun 2026 21:02:57 +0800https://txtmix.com/posts/tech/logto-io-logto-modern-auth-infrastructure-guide/<h2 id="当-auth-现代化-成为-saas-的硬约束">当 &ldquo;auth 现代化&rdquo; 成为 SaaS 的硬约束</h2> <p>SaaS 与 AI Agent 这两类产品对 auth 的诉求，比十年前复杂得多：</p> <ul> <li>多租户成为标配：每个 Organization 下还要分角色、配 SSO、配 Branding；</li> <li>协议不能只支持 OIDC，还得兼顾 SAML（给企业 IT 用）、OAuth 2.1（给新场景用）、MCP（给 AI Agent 用）；</li> <li>上游消耗方从&quot;网页 + 移动 App&quot;扩展到&quot;AI Agent 替用户取数据&quot;，这意味着 access token 的 owner 不一定是真人；</li> <li>开发者体验要足够&quot;无脑&quot;：不想让前端工程师花两周调通 PKCE（Proof Key for Code Exchange，OAuth 里防截获授权码的扩展）。</li> </ul> <p>这正是 <code>logto-io/logto</code> 想填的空白。它把自己定位为 <strong>&ldquo;the modern, open-source auth infrastructure for SaaS and AI apps&rdquo;</strong>，口号是&quot;takes the pain out of OIDC and OAuth 2.1&quot;。</p>https://txtmix.com/posts/tech/keycloak-keycloak-identity-access-management-guide/Sun, 28 Jun 2026 15:26:02 +0800https://txtmix.com/posts/tech/keycloak-keycloak-identity-access-management-guide/<h2 id="学习目标">学习目标</h2> <p>完成本文阅读后，你将能够：</p> <ol> <li>解释 Keycloak 在 IAM / SSO 领域的定位、它解决的问题边界，以及它与 Auth0、Okta、Cognito 等托管服务的关系。</li> <li>说出 OAuth2、OIDC（OpenID Connect）、SAML 2.0 三套协议在 Keycloak 中的角色，以及选 Realm 还是选外部 IdP（Identity Provider，身份提供方）的判断点。</li> <li>掌握 Realm / Client / Role / User / Group / Identity Provider 六大数据模型，以及它们在授权决策中的协作方式。</li> <li>描述 Keycloak 当前以 Quarkus 发行版取代 WildFly 发行版的工程背景与收益。</li> <li>在团队场景里判断&quot;自建 Keycloak&quot;还是&quot;接入 Auth0 / Okta&quot;的决策点与运维代价。</li> </ol> <h2 id="目录">目录</h2> <ol> <li><a href="#%e9%a1%b9%e7%9b%ae%e5%ae%9a%e4%bd%8d%e5%bc%80%e6%ba%90-iamsso-%e7%9a%84%e4%ba%8b%e5%ae%9e%e6%a0%87%e5%87%86%e4%b9%8b%e4%b8%80" rel="">项目定位：开源 IAM/SSO 的事实标准之一</a></li> <li><a href="#%e5%8d%8f%e8%ae%ae%e9%9d%a2oauth2-oidc-saml-20-%e4%b8%89%e5%b1%82%e5%a0%86%e5%8f%a0" rel="">协议面：OAuth2、OIDC、SAML 2.0 三层堆叠</a></li> <li><a href="#%e6%a8%a1%e5%9e%8b%e9%9d%a2realm--client--role--user--group--identity-provider" rel="">模型面：Realm / Client / Role / User / Group / Identity Provider</a></li> <li><a href="#%e6%9e%b6%e6%9e%84%e9%9d%a2quarkus-%e5%8f%91%e8%a1%8c%e7%89%88quarkus-%e4%b8%bb%e9%a2%98admin-rest-%e4%b8%8e-spi" rel="">架构面：Quarkus 发行版、Quarkus 主题、Admin REST 与 SPI</a></li> <li><a href="#%e7%b3%bb%e7%bb%9f%e5%9c%b0%e5%9b%be%e4%bb%8e%e6%b5%8f%e8%a7%88%e5%99%a8%e7%99%bb%e5%bd%95%e5%88%b0%e8%ae%bf%e9%97%ae%e5%8f%97%e4%bf%9d%e6%8a%a4%e8%b5%84%e6%ba%90%e7%9a%84%e5%ae%8c%e6%95%b4%e9%93%be%e8%b7%af" rel="">系统地图：从浏览器登录到访问受保护资源的完整链路</a></li> <li><a href="#keycloak-vs-auth0%e8%87%aa%e5%bb%ba%e4%b8%8e%e6%89%98%e7%ae%a1%e7%9a%84%e5%b7%a5%e7%a8%8b%e6%9d%83%e8%a1%a1" rel="">Keycloak vs Auth0：自建与托管的工程权衡</a></li> <li><a href="#%e9%80%82%e7%94%a8%e8%be%b9%e7%95%8c%e4%b8%8e%e9%87%87%e7%94%a8%e9%a1%ba%e5%ba%8f" rel="">适用边界与采用顺序</a></li> <li><a href="#%e5%86%b3%e7%ad%96%e6%b8%85%e5%8d%95" rel="">决策清单</a></li> <li><a href="#%e5%8a%a8%e6%89%8b%e7%bb%83%e4%b9%a0" rel="">动手练习</a></li> <li><a href="#%e8%87%aa%e6%b5%8b%e6%b8%85%e5%8d%95" rel="">自测清单</a></li> <li><a href="#%e8%bf%9b%e9%98%b6%e8%b7%af%e5%be%84" rel="">进阶路径</a></li> </ol> <h2 id="项目定位开源-iamsso-的事实标准之一">项目定位：开源 IAM/SSO 的事实标准之一</h2> <p>Keycloak 是 <code>keycloak/keycloak</code> 仓库下的开源身份与访问管理（Identity and Access Management，IAM）服务器，对外提供单点登录（Single Sign-On，SSO）、用户联合（user federation）、用户管理、细粒度授权等能力。README 把这层价值压缩成两句话：<code>Add authentication to applications and secure services with minimum effort. No need to deal with storing users or authenticating users.</code>。第一句承诺&quot;接入成本低&quot;，第二句承诺&quot;不需要自己实现用户存储&quot;。</p>