Autentico：自托管 OIDC 身份提供商

25次阅读

获取下载链

微信关注「软件教程管家」公众号，回复 autentico

30秒速读

手里有两三个自研项目，每个项目各自做一套登录、注册和会话管理，很快就会散成一摊维护负担。Autentico 想解决的就是这个问题：用一个 Go 二进制加一个 SQLite 文件，把登录、令牌签发、会话管理和后台界面包在一起，对外讲标准的 OAuth 2.0 与 OpenID Connect，多个项目共用同一套身份中心。不用另起数据库服务，不用再搭一套前端，部署组件很少。适合想把身份收敛到一处的小团队和个人开发者；但它是基础设施，备份、密钥和网络隔离都要自己负责，不能当成开箱即用的托管服务来用。

项目信息表

项目	Autentico
定位	自托管 OAuth 2.0 与 OpenID Connect 身份提供商
部署形态	单个 Go 二进制，状态存于 SQLite 文件，管理界面已编译进二进制
登录方式	账号登录，配合 TOTP、邮件 OTP、WebAuthn 通行密钥等多因素认证
协议能力	Authorization Code 加 PKCE、刷新令牌、令牌内省、OIDC Discovery、RS256 签名 JWT
管理能力	用户与客户端注册、会话管理、审计管理，均在内置管理界面完成
不依赖的组件	不需要独立数据库、Redis 或消息队列服务
采用前必核	仓库许可证标注存在不一致，以仓库 LICENSE 文件为准再决定

上手指南

身份服务一旦上线就牵一发而动全身，建议先在测试环境跑通全流程，再切生产。

准备一个可信域名并配好 HTTPS，身份服务不要长期裸跑在 IP 或纯内网地址上给外网项目用。
拿到可运行的二进制，准备一个可持久化的目录存放 SQLite 文件，容器部署时务必把该目录挂载出来，不要让数据只留在容器层。
首次启动后进入内置管理界面，先建管理员账号，再为第一个业务项目注册客户端，记好回调地址。
在业务项目里按 OIDC Discovery 文档接入，先跑通登录与登出，再接入刷新令牌和会话逻辑。
全流程跑通后，立刻做一次 SQLite 文件与签名密钥的备份恢复演练，确认备份能用再正式上线。

版本与获取方式怎么选

结论同样明确：只想用的，拿官方发布产物；想改源码的，再考虑自己构建。

方式	适合谁	代价
官方发布产物	绝大多数部署者，推荐	最低，拿到二进制即可运行
源码自行构建	需要改功能或跟踪开发分支的开发者	需要 Go 构建环境与前端构建链，成本更高

装完先改的 4 项配置

下面四项是部署后最容易被忽略、但出问题代价最大的地方，建议上线前逐项确认。

客户端分开注册：每个业务项目单独注册一个客户端，回调地址逐个核对，不要多个项目共用同一个客户端配置，否则一个项目出问题会牵连其他项目，回滚也难定位。
管理员先开多因素：管理员账号先启用 TOTP 或 WebAuthn 通行密钥，再推广给普通用户。身份中心的管理员账号一旦失守，所有接入项目都会受影响，这一步不要省。
会话与令牌有效期：按业务敏感度设定刷新令牌与会话时长，内部工具可以宽松一点，对外服务则收紧。不要图省事把有效期设成超长，等于把一次登录的代价无限放大。
邮件 OTP 通道先验证：如果打算用邮件 OTP，启用前先确认邮件确实能发到收件箱，并核对发件配置。据项目说明，邮件服务的具体配置细节需要结合文档确认，不要假设默认就能用。

注意事项与常见问题

SQLite 单文件有扩展边界：单文件模式部署简单，但横向扩展、并发写入和跨节点部署都会受限。用户量或写入量上来之前，先评估这个边界是否够用，不要等到瓶颈出现才换架构。
高可用方案需要自己验证：据项目说明，集群、高可用和外部数据库迁移方案没有明确承诺，生产部署前要结合文档与源码确认，不要默认它自带多节点能力。
备份与密钥责任在部署方：SQLite 文件丢了等于用户与会话数据丢了，签名密钥泄露等于令牌可被伪造。备份频率、异地存放和密钥权限要在一开始就定好，而不是出事后再补。
邮件 OTP 不是开箱即用：发件渠道、配置项和运维要求需要事先核对，测试环境先真实收一封验证码，再向用户开放该登录方式。
许可证标注先核对再采用：公开信息里许可证名称存在不一致，正式用于商业项目前，务必以仓库 LICENSE 文件为准，必要时咨询法务意见。

适合谁，不适合谁

取舍结论：项目数量在增长、又不想为身份认证多维护数据库和前端的团队，Autentico 是个轻量且划算的选择，一个二进制就把身份中心立起来了。反过来，如果硬性要求外部数据库、集群高可用、企业目录深度集成，或者希望有人兜底运维，就不要强行套用它，先按这些边界去验证，验证不过就换更重的成熟方案。轻量是它的优点，也是它的边界，选之前把边界想清楚，比上线后再返工便宜得多。