Auth 是身份加会话状态
真正的认证系统要处理注册、登录、密码重置、OAuth、会话、token 刷新、邮箱验证和账号恢复。
身份验证与用户身份服务
2026年主流免费身份验证(Auth)与用户管理服务对比
身份验证不只是一个登录框。真正的 Auth 服务要管理会话、OAuth、邮箱验证、密码重置、MFA、组织、角色，有时还包括 SSO。免费层选择应该在用户大量沉淀进某个身份系统之前，就匹配你的产品形态。
快速结论
Postgres/RLS 是核心时，优先看 Supabase Auth。
前端认证体验最重要时，优先看 Clerk。
多个应用需要 OIDC/RBAC 时，优先看 Logto。
更新时间: 2026-05-22
认证服务真正处理什么
权限控制是另一层
登录只告诉你用户是谁。权限控制决定他们能读取、编辑、邀请、计费或管理什么。
MAU 不是唯一免费层边界
邮件发送、自定义域名、MFA、SSO、组织、审计日志和机器到机器 token，往往比 MAU 标题数字更重要。
认证会制造强锁定
迁移用户、密码、OAuth 提供商、会话、租户和权限规则，比迁移普通数据表难得多。
快速推荐
按产品形态选择：Postgres 应用、前端优先 SaaS、通用 OIDC 身份层，或 B2B SaaS 功能组合。
免费身份验证服务对比表
表格用于快速查看 MAU 和功能。真正投入用户前，还要检查邮件送达、SSO、组织能力和导出路径。
| 提供商 | 免费存储 | 月流量 | 规格 / 算力 | 连接限制 | 关键限制 | 操作 |
|---|---|---|---|---|---|---|
Supabase AuthPostgres 原生 | 50,000 MAU | 不限行级关联 | 直接集成 PG schema，内置行级安全策略（RLS） | 高性能原生接口 | 内置 SMTP 每日发信限制严格；生产环境需要外部 SMTP | 访问官网 ↗ |
Logto CloudOIDC / Auth0 替代 | 50,000 MAU | 不限社交登录次数 | 企业级 RBAC，支持 .NET/Go/Android/Java 等多语言 SDK | 高密度云代理基础设施 | 免费云版本不支持自定义域名，需付费附加包 | 访问官网 ↗ |
Clerk前端身份基建 | 10,000 MAU | 不限会话同步次数 | 预置 React/Next.js 组件，默认提供基础 MFA | 边缘复制路由 | 10k MAU 为硬上限；纯 headless 后端接入成本更高 | 访问官网 ↗ |
KindeSaaS 身份工具箱 | 7,500 MAU | 不限 Feature Flags | 内置 Feature Flag、用户审计和基础 SAML SSO 能力 | 全球身份路由 | 在主流方案中 MAU 余量最小，超限后价格跃迁明显 | 访问官网 ↗ |
如何选择身份验证服务
按产品形态选，不按登录框选
个人应用、SaaS 后台、B2B 工作区、移动应用和内部管理工具，需要的认证原语不同。
尽早检查组织和租户模型
如果用户属于团队、工作区或组织，要确认服务商支持邀请、角色、租户切换和计费归属。
规划邮件送达率
魔法链接、验证邮件、密码重置和邀请都依赖邮件。生产应用通常需要自定义 SMTP 或事务邮件服务。
让权限规则靠近数据
认证负责识别用户；数据级授权仍应靠近数据库、API 或保护记录的策略引擎。
认证服务常见陷阱
登录能用，但权限泄漏
很多应用先把登录做完，却没有设计授权。这会导致私有数据泄漏、租户隔离失效，以及普通用户能访问管理操作。
SMTP 限制会破坏注册体验
免费内置邮件足够 demo，但不一定适合生产发布。邀请流程和密码重置可靠性也是认证质量的一部分。
SSO 后期会变贵
B2B 产品常常后期才发现需要 SAML、SCIM、审计日志和企业角色，而这些能力可能不在免费层。
用户迁移很痛
密码哈希、OAuth 身份、会话、MFA 因子和组织成员关系，可能很难导出或重建。
推荐认证技术栈组合
Supabase Auth + RLS + Postgres
适合 SaaS MVP：认证状态、用户记录和数据权限都靠近同一个 Postgres 后端。
Clerk + Next.js + Neon
前端优先 SaaS 组合：Clerk 做精致认证体验，Neon 做关系数据，Next.js 管应用路由。
Logto + API 网关 + 微服务
当多个应用和服务需要共享 OIDC 身份层与集中 RBAC 模型时更适合。
相关指南与分类
身份验证常见问题
身份验证服务到底做什么？+
它处理登录、注册、会话、密码重置、OAuth、邮箱验证、token 刷新，通常还包括 MFA、组织、角色和审计日志。但它不会自动解决所有数据权限问题。
哪个免费认证服务最适合 SaaS MVP？+
如果已经使用 Supabase/Postgres，Supabase Auth 很强；Next.js 前端体验优先可以看 Clerk；需要 OIDC/RBAC 和 Auth0 风格能力可以看 Logto；认证决策里还包括 Feature Flag 和 SaaS 工具时可以看 Kinde。
MAU 是认证服务最重要的限制吗？+
MAU 很重要，但产品成熟后，邮件限制、自定义域名、组织、SSO、MFA、角色、审计日志和机器到机器认证可能更重要。
应该自己实现认证吗？+
大多数公开应用不建议。你应该认真设计授权和产品权限模型，但密码重置、OAuth、会话、邮箱验证和安全敏感流程，除非有强理由，否则交给服务商更稳。
选择认证服务前应该检查什么？+
检查 MAU、社交登录、自定义域名、邮件送达、组织、角色、SSO、MFA、审计日志、用户导出、SDK 质量，以及权限如何与你的数据库或 API 集成。