企业级身份基础设施。
开源。
27 个微服务、1,400+ API、npm SDK 软件包、8 个合规框架 —— 你的 AI 生成应用在身份方面需要的一切。
🔐
认证与注册
完整的用户身份生命周期 —— 从注册到企业级 SSO，从基础认证到免密登录。
- ✓邮箱/密码认证，密码策略可配置（最小长度、复杂度、历史密码）
- ✓密码传输加密：明文、哈希、对称（ECDH+AES-256-GCM）、非对称（RSA-OAEP）
- ✓社交登录：Google、GitHub、微信、Apple、Microsoft、钉钉、飞书
- ✓免密登录：Magic Link、短信 OTP、邮件 OTP、扫码登录、匿名登录
- ✓密码生命周期：有效期、强制重置、最近 N 次历史、按租户策略
- ✓账户找回：忘记/重置密码、手机/邮箱验证、恢复码
- ✓验证码：reCAPTCHA、Turnstile、工作量证明 —— 可按租户配置
- ✓密码强度评估（zxcvbn、OWASP ASVS V6.2.8）
🛡️
多因素认证（MFA）
从 TOTP 到抗钓鱼的通行密钥（Passkey）。企业级 MFA，支持基于风险的动态调整。
- ✓TOTP（RFC 6238）—— 基于时间的一次性密码
- ✓短信与邮件 OTP —— 通过可配置的服务商后端
- ✓WebAuthn / FIDO2 / Passkey —— 平台内置与漫游认证器
- ✓推送 MFA —— 挑战/应答，支持批准/拒绝
- ✓自适应 MFA —— 风险引擎：7 类信号（设备/IP/地理位置/行为/频次/泄露/劫持）
- ✓备份与恢复码 —— 生成、校验、吊销、管理员重置
- ✓步进式认证 —— 敏感操作前重新认证
🏢
企业级 SSO 与联合身份
可对接任意身份提供方。符合标准的 SAML、OIDC、OAuth 实现。
- ✓SAML 2.0 —— SP 发起的 SSO、IdP 管理、SLO、元数据端点
- ✓OpenID Connect —— 完整的提供方实现，支持 Discovery、UserInfo、ID Token
- ✓OAuth 2.1 —— 授权码 + PKCE（RFC 7636）、刷新令牌、设备码（RFC 8628）
- ✓OAuth 令牌交换（RFC 8693）—— 服务间委派、NHI 令牌交换
- ✓DPoP —— 将令牌绑定到客户端密钥，防止重放攻击
- ✓JARM —— 使用 JWT 签名的授权响应，满足金融级安全要求
- ✓动态客户端注册（RFC 7591）—— 自助配置 OAuth 客户端
- ✓富授权请求（RFC 9396）—— 结构化的授权范围
- ✓private_key_jwt —— 基于 JWT 的客户端认证
- ✓社交 OAuth：GitHub、Google、Facebook、Discord、LinkedIn、微信、Apple
- ✓LDAP / Active Directory —— 绑定认证、用户同步、组映射
- ✓SCIM 2.0 —— /scim/v2/Users 与 /Groups，用于企业用户供给
👥
多租户与组织
为 B2B SaaS 而构建。每项功能在设计上都是租户感知的。
- ✓按租户隔离数据 —— 每次查询都带 tenant_id，三层强制校验
- ✓自定义域名与白标 —— 按租户品牌定制、自定义登录页
- ✓组织层级 —— 部门、组织架构图、委派管理
- ✓成员管理 —— 邀请、审批、角色分配、批量导入
- ✓应用与角色管理 —— 按租户的应用 CRUD、应用级角色
- ✓租户安全策略 —— 按租户配置密码策略、MFA、会话超时
- ✓功能开关 —— 基于套餐启用，可按租户覆盖
🔑
授权与访问控制
从角色到属性再到关系。四种授权模型集于一个平台。
- ✓RBAC（NIST 标准）—— 角色层级、继承、预置 super_admin/admin/security_admin
- ✓ABAC —— expr-lang/expr 策略引擎、OPA/Rego 桥接、JWT/GeoIP/DeviceTrust 解析器
- ✓ReBAC —— BFS 关系图、按租户缓存并支持失效
- ✓PIM/JIT —— 限时角色激活（最长 24 小时）、审批流、到期自动失效
- ✓职责分离（SoD）—— 冲突对检测，对所有授权强制执行
- ✓PermissionRequired 中间件 —— 端点级细粒度访问控制
- ✓审批流 —— 敏感操作需要多方审批
🤖
NHI —— 非人类身份
面向 AI 智能体、机器人与 IoT 设备的身份能力。因为 AI 需要有自己的身份。
- ✓AI 智能体生命周期：供给 → 激活 → 轮换 → 吊销 → 删除
- ✓机器人生命周期：上线 → 激活 → 降级 → 下线 → 删除
- ✓IoT 设备生命周期：未配对 → 激活 → 转移中 → 吊销 → 删除
- ✓认证方式：client_credentials、api_key、device_code、intent_token
- ✓委派中间件 —— 为 AI 智能体调用链提供 OnBehalfOf + Chain-ID 请求头
- ✓Ed25519 意图令牌签名 —— 为委派的 AI 操作签署操作范围
- ✓令牌交换 —— 通过 OAuth 令牌交换授权类型实现 NHI 服务间认证
📊
审计与合规
基于 Merkle 哈希链验证的防篡改审计追踪，覆盖企业级合规框架。
- ✓Merkle 哈希链审计日志 —— 密码学完整性验证
- ✓GDPR DSAR 自动化 —— 编排 7 个服务完成擦除，附哈希链审计追踪
- ✓两级删除 —— 软删除（可逆）→ 匿名化（不可逆），由调度器驱动
- ✓合规框架：ISO 27001、PCI DSS、HIPAA、SOX、PSD2、PIPL、等保 2.0
- ✓数据分级 —— 公开 / 内部 / 机密 / 绝密
- ✓跨境数据传输管理
- ✓数据保留策略 —— 可配置 TTL、归档触发条件
- ✓数据泄露通知与供应商风险评估管理
- ✓渗透测试与审计发现跟踪，支持证据关联
🇨🇳
国密算法（GM/T）
中国国家标准的密码算法。政务与受监管行业部署的必备能力。
- ✓SM2 —— 椭圆曲线密钥交换与数字签名
- ✓SM3 —— 密码杂凑算法（256 位）
- ✓SM4 —— 分组密码（CBC/PKCS7），用于数据加密
- ✓Ed25519 —— 高性能签名算法
- ✓按租户的密码配置 —— 租户级算法选择（国密 vs 标准）
- ✓系统内 14 个集成点，自动检测需要重新哈希的数据
⚡
开发者平台
1,400+ API、npm SDK 软件包、gRPC 网格、自动生成的 TypeScript 类型。
- ✓27 个微服务共 1,400+ 个 RESTful API 端点，带版本管理且文档完备
- ✓gRPC 服务网格 —— 9 个微服务提供 gRPC 接口
- ✓SDK：已发布 @autional/react、Vue、Next.js、Node 等 npm 软件包与框架适配
- ✓自动生成的 TypeScript 类型 —— 基于 OpenAPI 规范（38K+ 行）
- ✓600+ 种 Webhook 事件类型 —— 全服务统一 HMAC 签名投递
- ✓Swagger/OpenAPI —— 每个端点都有交互式文档
- ✓TanStack Query hooks —— 为所有端点自动生成
🏗️
基础设施与集成
多云适配、云原生。随处可运行 —— 你的基础设施，由你掌控。
- ✓PostgreSQL + PgBouncer、MongoDB、Redis、RabbitMQ、Kafka、ZooKeeper
- ✓对象存储：MinIO、S3、阿里云 OSS、腾讯云 COS、SeaweedFS
- ✓短信：阿里云、腾讯云、SMS4Dev（开发）| 邮件：SMTP
- ✓实名认证：阿里云 OCR、百度、腾讯、CTID
- ✓字段级 AES-256-GCM 加密，支持密钥轮换与 SM4-GCM
- ✓Prometheus + Grafana + OpenTelemetry + Jaeger + Loki + Alertmanager
- ✓Docker + Podman compose，可运行于 Kubernetes