认证源选型说明

概述

本文档帮助您根据业务场景选择合适的认证协议。专属集成平台支持多种认证协议，包括 OIDC、OAuth2、SAML、CAS 以及多种社交登录方式。选择正确的协议是保障认证安全性与用户体验的关键第一步。

协议对比概览

协议	复杂度	安全性	适用场景	推荐度
OIDC	中	高	现代 Web 应用、移动端	⭐⭐⭐⭐⭐
OAuth2	低	中	API 授权、第三方登录	⭐⭐⭐⭐
SAML	高	高	企业级应用、SSO	⭐⭐⭐⭐
CAS	中	中	单点登录、老系统	⭐⭐⭐

协议详解

OIDC（OpenID Connect）

简介：OIDC 是基于 OAuth2.0 的身份层协议，是现代应用推荐的身份认证标准。

优势：

基于 JSON，轻量级易于实现

内置身份令牌（ID Token），包含丰富用户信息

支持 RESTful API，易于与移动端集成

良好的移动端支持

标准化程度高，互操作性好

适用场景：

现代 Web 应用（SPA、移动端）

需要获取用户详细信息的应用

微服务架构

多平台统一身份认证

不适用场景：

老旧系统（不支持 OAuth2）

对协议复杂性有严格限制的环境

配置要点：

选择合适的授权类型（Authorization Code 推荐）

配置正确的回调 URL

根据需求选择授权范围（Scope）

OAuth 2.0

简介：OAuth2.0 是授权协议的标准，主要用于 API 授权而非身份认证。

优势：

成熟的授权机制

广泛的平台支持

灵活的作用域控制

适合资源访问授权

适用场景：

第三方应用授权（如"使用微信登录"）

API 访问授权

跨系统数据共享

不适用场景：

需要严格身份认证的场景（应使用 OIDC）

需要获取详细用户信息的场景

重要：如果只需要用户身份认证，强烈建议使用 OIDC 而非纯 OAuth2。

配置要点：

明确区分认证与授权的使用场景

配置合适的授权类型（客户端凭证、授权码等）

设置合理的 Token 有效期和作用域

SAML 2.0

简介：SAML 是 XML 格式的企业级 SSO 标准，广泛用于企业应用集成。

优势：

企业级安全标准

成熟的 SSO 实施经验

广泛的企业应用支持

无需直接传递密码

适用场景：

企业内部应用 SSO

需要与 AD、LDAP 集成的场景

大型企业组织

对安全性要求高的场景

不适用场景：

移动端应用（推荐 OIDC）

微服务架构

简单的第三方登录

配置要点：

正确配置 Entity ID 和 ACS URL

确保时钟同步

配置正确的属性映射

CAS（Central Authentication Service）

简介：CAS 是专门为 Web 应用设计的单点登录协议。

优势：

专为 SSO 设计

简单易用

良好的会话管理

支持代理认证

适用场景：

传统 Web 应用

需要简单 SSO 的场景

需要代理认证的场景

教育机构（很多教育系统使用 CAS）

不适用场景：

移动端应用

需要与现代协议兼容的场景

配置要点：

正确配置 CAS Server URL

配置 Service Ticket 校验地址

设置合理的 Session 超时时间

协议选型决策树

开始
  │
  ├─ 是否需要获取用户详细信息？
  │   │
  │   ├─ 是 → 是否是现代 Web/移动应用？
  │   │   │
  │   │   ├─ 是 → 推荐 OIDC
  │   │   │
  │   │   └─ 否 → 是否是企业级应用？
  │   │       │
  │   │       ├─ 是 → 推荐 SAML
  │   │       │
  │   │       └─ 否 → 推荐 CAS
  │   │
  │   └─ 否 → 只需要授权还是需要认证？
  │       │
  │       ├─ 仅授权 → 推荐 OAuth2
  │       │
  │       └─ 需要认证 → 推荐 OIDC
  │
  └─ 是否有现有 AD/LDAP？
      │
      ├─ 是 → 推荐 SAML + AD 集成
      │
      └─ 否 → 推荐 OIDC

提示：多数企业的实际需求是"获取用户信息 + 现代架构"，此时 OIDC 是最优选择。决策树中的每条路径对应一种典型场景，可根据实际情况灵活调整。

企业平台选型

对于国内企业办公场景，各企业平台的选择建议如下：

平台	推荐协议	说明
企业微信	OAuth2	使用企业微信 OAuth2 接口进行扫码登录
钉钉	OIDC	钉钉提供 OIDC 支持，获取完整用户信息
飞书	OIDC	飞书提供 OIDC 支持，与飞书账号体系无缝集成

选择建议

企业微信：如果只需要扫码登录，使用 OAuth2；如需完整用户信息，建议通过通讯录集成同步用户数据，认证侧保持轻量

钉钉：推荐使用 OIDC 协议，获取完整的用户信息，与钉钉组织架构打通

飞书：推荐使用 OIDC 协议，与飞书账号体系无缝集成，用户属性丰富

常见问题

Q1：OIDC 和 OAuth2 有什么区别？

Q2：SAML 太复杂，可以换成 OIDC 吗？

Q3：移动端推荐使用什么协议？

Q4：如何保证认证安全性？

概述#

协议对比概览#

协议详解#

OIDC（OpenID Connect）#

OAuth 2.0#

SAML 2.0#

CAS（Central Authentication Service）#

协议选型决策树#

企业平台选型#

选择建议#

常见问题#

概述

协议对比概览

协议详解

OIDC（OpenID Connect）

OAuth 2.0

SAML 2.0

CAS（Central Authentication Service）

协议选型决策树

企业平台选型

选择建议

常见问题