大家好，我是张飞洪，现就职厦门蓝略数字科技，感谢您的阅读，我会不定期和你分享学习心得，希望我的文章能成为你成长路上的垫脚石，让我们一起精进。
1.当"登录"变得不再简单
登录组件虽不起眼，但是如果你认真梳理其发展历史，你会发现它就像一个从"钥匙开锁"升级到"刷脸进门"的过程。
最早就是简单的用户名密码框，像填表格一样；后来加了验证码、密码强度提示，还能用微信或谷歌一键登录；
现在更厉害了，短信验证、指纹刷脸、甚至点邮件里的链接就能登，连密码都不用记！
未来可能连手指都不用动，AI看一眼就知道是你。
整个过程就是越变越简单、越安全，就像从钥匙→密码锁→人脸识别的智能门锁进化史。
登录组件的本质是解决身份认证的问题，也就是说，你要告诉系统你是何方神圣，你的身份证号码是多少。
当你们公司只有一个系统的时候，你很好办，因为你只需要记住一个账号和密码。随着系统不断累加，一般百人以上的公司，系统都不可能只有一套。
我之前呆过的安踏，系统就更多了，有OA，ERP，WMS，订单管理系统，财务系统，资产管理系统......
对跨系统用户，如何管理自己的多个账户是非常麻烦的，因为你不可能记住那么多账户和密码，如果密码统一，安全可能会存在隐患。
这就是登录在发展中冒出的系统多样导致的账号密码混乱，甚至安全泄露的问题。
传统身份认证的局限性
2.1.多系统身份管理困难
从技术层面来看，对集成类的系统，比如厦门会展中心，或者地铁，机场，轨道，医院等中型或者中大型项目，他们需要的供应商提供的系统可能有十几种，每个系统就像一根烟囱，每个系统都维护有一套自己的用户表，如何统一管理这些用户、组织机构和权限，如何减少维护成本是一个老大难题。
2.2.授权逻辑散落难统一
想象一下：公司每个业务系统都像一栋独立大楼，A楼用门禁卡，B楼要密码，C楼甚至靠保安认脸......结果员工每天光进门就要折腾半天，管理员更是崩溃------权限规则散落在各处，改个权限得跑遍所有系统，稍不留神就漏掉某个角落。
这就是典型的"授权逻辑碎片化"问题：
● 各搞各的：每套系统自己管理权限，标准不统一
● 越管越乱：员工离职后，可能在某冷门系统里权限还在
● 效率黑洞：跨系统协作时，反复申请权限拖慢进度
2.3无法支撑现代化集成需求
在各个中大型集成项目中，各业务系统就像一个个独立烟囱，无法满足 SSO、OAuth 等现代化的集成需求：
- 认证方式割裂：售票系统用LDAP、安防系统用本地账号、商业系统用微信登录...SSO根本无从谈起
- 权限数据孤岛：每个系统维护自己的用户表和角色配置，OAuth所需的统一授权中心无法建立
- 集成成本暴增：每对接一个新系统，都要重新开发用户同步逻辑，运维团队疲于应付账号冲突/权限不一致问题
这直接导致：
● 用户要记多套密码
● 安全审计时权限漏洞百出
● 想对接智慧服务平台？先解决十几个系统的账号打通问题。
2.4.权限粒度无法适配复杂组织
在多数中小型系统中，"权限"常常只体现在"用户拥有某个角色"或"用户能否访问某个菜单"，这是一种典型的粗粒度授权模型。它的问题在于：一旦面对复杂组织结构、动态职责分配、多维度授权时，这种模型就会失效，变得不可控、不可维护。
2.4.1.权限边界模糊
比如，传统做法中，一个角色往往直接绑定菜单或页面访问权限，用户绑定角色后，即拥有所有角色权限，无法做到精确到"数据级"、"操作级"的控制。更具体一点，某公司"销售主管"角色能查看所有客户？那临时调岗的新人主管是不是也能？有没有办法限定他只能看"华东区域客户"？显然，传统的"角色绑定菜单"做法无法满足。
2.4.2.忽视组织结构的维度
很多传统权限设计只是"用户 --- 角色 --- 权限"的三层模型，完全忽略了组织结构（部门、岗位、层级）。
但真实企业场景往往是：
● 同一个角色在不同部门，权限边界应不同；
● 同一个人在不同系统中身份不一致（开发部是"负责人"，运维部是"操作员"）；
● 员工调岗/兼职/派遣，权限应跟随"岗位职责"，而非固定绑定。
没有组织维度的权限模型，注定在大型企业内推不动。
2.4.3.权限缺乏策略表达力
现代系统中，对权限的要求已经不仅仅是"谁能访问什么"，而是：
● 谁，在什么时间段，在哪种上下文条件下，能做什么操作；
● 支持 ABAC（基于属性的访问控制）、PBAC（基于策略的访问控制）等模型；
● 比如："仅允许财务人员在工作日 9 点到 18 点操作大额转账"------这种规则传统权限系统完全无法描述。
2.4.4.权限难以审计与复用
由于权限都是分散在代码中或配置中手动管理的：
● 没有集中视图可以查看某用户到底拥有哪些权限；
● 每个系统重新定义权限，重复造轮子，策略不一致；
● 无法做到统一授权、统一回收、统一审计。
总结一句话：传统权限模型只适合静态、简单、单系统的小场景，面对复杂、多变、组织化、多系统的现实环境，它就是一把钝刀。"
2.5.无审计无集中安全策略
在传统系统中，认证授权往往由每个业务系统自行实现，缺乏统一规划。这样的设计虽然短期内开发简单，但从安全和合规的角度看，隐患极大：
2.5.1.用户行为无法追踪，操作行为不可溯源
● 多数系统没有登录、登出、授权失败、权限变更等行为的日志记录；
● 无法回答 "谁、在什么时间、对什么资源、做了什么操作" 这种最基本的审计问题；
● 一旦发生安全事故，如敏感数据泄露、越权访问、滥用权限，根本无法回溯和定位责任人。
例如：某财务人员非法导出客户数据，系统无登录审计、无导出日志，甚至不知道导出是他做的。
2.5.2.安全策略分散，防御体系形同虚设
● 登录失败次数限制？某系统有，某系统没有；
● 密码复杂度规则？每个系统都自己定，难以统一修改；
● 是否强制 HTTPS？是否开启双因素认证？是否有登录地限制？------全靠开发习惯；
结果就是：看似都有"权限"，实则安全空心化。
2.5.3.用户和权限无法集中管理，难以合规
● 多个系统各自维护用户账号、权限、角色数据；
● 用户离职或变更岗位，只能人工通知各系统管理员去"删账号"；
● 一旦遗漏，就会留下"僵尸账号"，形成权限漂移与越权风险；
例如，一名项目经理离职，但他在某个旧系统中仍保留管理员权限，可继续操作核心业务数据，这是典型的合规红线问题。
2.5.4.无法满足现代合规要求（等保、ISO、GDPR）
越来越多的企业必须通过：
● 网络安全等级保护（等保 2.0/3.0）
● ISO 27001 信息安全管理体系认证
● GDPR / 数据出境监管政策
这些合规标准都明确要求：
● 账户统一管理、权限最小化配置、行为可审计、安全策略集中控制
如果没有云身份或类似统一身份平台，企业根本无法在技术上支撑这些合规要求。
3.什么是IDaaS？
到底什么是IDaaS，它解决了什么问题？有了上面两大点的铺垫，我相信你应该很清楚它要解决什么问题了。
我们还是从专业上对它做一个定义
● 定义：Identity as a Service，统一的身份基础设施
● 功能概览（可用简图呈现）：
○ 用户中心 + 权限中心 + OAuth2/OIDC 提供方 + 安全策略平台
● 它如何解决上面提到的每一个问题：
○ 多系统统一认证授权
○ 统一用户身份与权限入口
○ 系统级审计追踪与策略防护
○ 易于扩展，适配第三方登录、多租户等复杂场景
4.为什么不是用 ABP 自带的模块？
我们知道ABP采用的认证授权也经过了一次更替，从原来的IdentityServer4切换到OpenIddict，但是不管怎么切换，如果您有使用过，你会发现它能主要功能还是偏中小或者个人。如果要支持中大型企业的管理需要，它的能力还是很不够的，包括我在上面提到的传统身份认证的局限性，它无法很好的解决。于是市面上出现了很多的IDaaS开源产品，但是从使用体验来看还是非常糟糕的。
4.1.缺乏灵活的权限建模
仅支持"用户-角色-权限"三层结构（RBAC），缺少：
● 基于组织/岗位的权限继承（Org-Based）
● ABAC/PBAC 动态授权策略
● 资源操作级控制（Resource + Action）
权限定义较粗，无法支撑复杂企业级授权策略（如跨组织授权、项目级特权、数据维度访问控制）。
4.2.可视化管理体验落后 / 缺失
● IdentityServer4和OpenIddict的UI比较落后，交互体验也非常糟糕
● 权限配置、Scope 管理、用户群组管理需要手工填表，非业务友好
● 对非开发人员非常不友好，产品落地成本高，依赖开发团队介入使用
4.3.接入复杂，缺乏"标准应用模板"
● 虽然支持 OAuth2 / OIDC，但接入方式零散、没有通用 SDK
● 缺少"第三方系统接入模板"（如：接 GitLab、Jenkins、钉钉、企业微信）
● 无可视化客户端注册入口
导致客户系统接入认证服务时体验极差，阻碍 IDaaS 落地
4.4.缺乏完整的账号生命周期管理
● 如账号注册、审批、自动禁用、失活提醒、离职回收、继承授权等
● 大多仅提供注册/删除 API，无产品级"流程视角"
权限残留、账号泛滥、合规风险增加
4.5.缺乏审计日志、风控策略等合规能力
● 登录行为、权限变更等日志记录不全或未内置展示界面
● 无安全策略集中管理（IP 限制、2FA、异常行为提醒等）
不符合等保、ISO 27001、GDPR 等安全规范
5.总结
总之，IDaaS 是"统一"的开始，也是系统互联的基石。它不仅解决了"企业内每个系统都要重复建设用户模块"的痛点，更重要的是，通过提供支持多租户的统一身份入口、灵活的分级授权体系、细粒度的权限管理和全局审计能力，IDaaS 成为企业集团信息化建设的"数字身份中枢"。
对于集团型企业，IDaaS 可实现母子公司的账号体系统一管理，同时支持各业务单元独立运营；对于 SaaS 服务商，IDaaS 提供标准化的租户隔离与权限模板，让身份服务本身成为可复用的运营能力。
有了 IDaaS，无论是企业内部系统还是云端 SaaS 应用，都可以共享用户体系、复用权限模型，轻松实现跨组织单点登录、多端统一认证和业务协同。开发团队既能满足复杂的企业治理要求，又能快速支持 SaaS 化运营，真正让身份管理从"技术负担"升级为"战略资产"。