市场上的认证解决方案

总结...

1. 如果我正在运营一家新创业公司，并且不想构建自己的认证系统，选择 auth0。
2. 如果我经营一家需要企业服务集成的公司，那么选择 onelogin 以满足合规要求。
3. Google Firebase 很糟糕，未来迁移也不容易。Google 最好考虑收购 auth0。

	Auth0	Okta	Amazon Cognito	onelogin	Firebase Authentication
注册后发送欢迎邮件	提供模板	❌	❌	❌	事件处理程序提供但需要电子邮件供应商集成
客户类型	B2C, B2B, B2E	B2C, B2B, B2E	?	B2E	❌
单点登录	✅	✅	✅	✅	?
多因素认证	推送通知, 短信	身份验证器, 短信, 语音电话, 安全问题	短信, 身份验证器	推送, 短信, 身份验证器	短信
社交登录 / 公共身份提供者	✅	✅	✅	✅	✅
登录规则引擎 / 策略	✅	✅	❌	✅	❌
基于角色的访问控制 / 基于组	✅	✅	✅	✅	❌
跨平台 SDK	Web, 移动, 原生	Web(Angular, Node.js, React, PHP, Java, .NET), 移动(iOS, Android), 原生 (Java, .NET), 机器对机器	✅	原始示例	iOS, Android, Web, C++, Unity,
行业标准	SAML, OpenID Connect, JWT, OAuth2.0, OAuth1.0a, WS-Federation, OpenID	SAML 身份提供者	OAuth2.0, SAML2.0, OpenID Connect	SAML 1.1 和 2.0 WS-Federation 2005 SCIM 1.1 和 2.0 OAuth 1.0 和 2.0 OpenID Connect 1.0 JSON Web Token (JWT) 集成 Windows 身份验证 (IWA)	❌
分析	✅	✅	aws Pinpoint	❌	❌
一般 SLA	99.95%	99.97%	❌	99.98%	❌
无密码	Touch ID, 电子邮件魔法链接, 短信	❌	❌	❌	❌
异常检测	1. 暴力破解保护限制来自可疑 IP 地址的注册和失败登录次数。2. 被泄露密码检测。检测使用已知被泄露的凭据的登录尝试。	基于风险的身份验证	❌	基于风险的身份验证	❌
异常检测反应	电子邮件通知阻止 IP	❌	❌	❌	❌
提供用户档案 / 目录存储	✅非常广泛	✅带管理指标：总用户数、认证、失败登录、系统日志	✅按应用配置访问	✅	✅字段非常有限
工作流 - 电子邮件地址验证	❌	❌	❌	❌	✅
工作流 - 电子邮件地址更改	❌	❌	❌	❌	✅
工作流 - 忘记密码	✅有限的页面自定义	✅电子邮件模板	✅电子邮件/短信模板	✅无用户界面自定义	✅
工作流 - 自助锁定	❌	✅	❌	❌	❌
AD/LDAP 集成	✅	✅	AD	AD	❌
合规性	SOC 2 类型 II, 欧盟-美国隐私保护框架, HIPAA, OpenID Connect	HIPAA, 欧盟和联邦合规	PCI DSS 合规且符合 HIPAA	保证计划：SOC 2 类型 2 SOC 1 类型 2 ISO 27017:2015 ISO 27018:2014 ISO 27001:2013 安全计划：Skyhigh 企业就绪 CSA STAR 隐私计划：TRUSTe 认证隐私 美国隐私保护 GDPR 欧盟模型合同条款 脆弱性管理：渗透测试 网络扫描 漏洞赏金计划 其他倡议：HIPAA FFIEC / GLBA NIST 网络安全框架 G-Cloud FERPA	❌
用户设备管理	✅	✅	✅	✅	❌