ASP.NET API+Flutter电商平台身份验证方案选型咨询

A) 本地存储所有用户信息是否合理？Auth0这类提供商的替代方案？ #

• 本地存储所有用户信息（包括凭证、个人信息）完全合理，尤其适合对数据主权、合规性要求高的场景（比如电商平台）。只要遵循安全规范：
  • 凭证用ASP.NET Core Identity自带的PBKDF2等哈希算法存储，绝不保留明文；
  • 数据库启用透明数据加密（TDE）、严格的访问控制（IP白名单、最小权限账号），定期做异地备份；
  • 服务器层面配置防火墙、入侵检测，就能有效保障数据安全。
• 针对Auth0无法存储敏感个人信息的问题，有两种可行方案：
  • 利用Auth0的自定义用户元数据存储非敏感信息，敏感的出生日期等核心数据存在本地数据库，通过Auth0返回的用户ID做关联；
  • 在Auth0的登录流程中添加自定义动作，将用户信息同步到本地数据库，实现敏感数据的本地留存。

B) Docker部署Keycloak是否安全？非资深DevOps能否维护？ #

• Docker部署Keycloak本身是安全的，安全性由部署配置决定，只要做好以下几点：
  • 容器层面：使用官方镜像，定期更新镜像修复已知漏洞；以非root用户运行容器，配置资源隔离；只开放必要端口（8080/8443），并通过网络策略限制访问来源。
  • Keycloak配置：强制启用HTTPS，使用Azure提供的SSL证书或可信CA证书；禁用默认管理员账号，设置强密码；开启暴力破解防护、会话超时，启用审计日志监控异常操作。
  • Azure托管层面：将容器部署到Azure App Service或AKS，启用Azure Security Center的容器漏洞扫描；配置防火墙规则，只允许前端和API的IP访问Keycloak；用Azure托管数据库存储Keycloak数据，开启自动备份和加密。
• 非资深DevOps完全可以维护，只要严格遵循官方安全最佳实践，定期关注Keycloak的安全公告并更新版本，Azure的托管服务也会帮你承担大部分底层运维工作，比如服务器补丁、高可用等。

C) ASP.NET Core Identity仅适合爱好者？电商平台该怎么选？ #

• ASP.NET Core Identity绝非仅适合爱好者，它是微软官方的成熟认证框架，大量企业级电商、业务系统都在使用。它的核心优势是高度可控与可定制：可以轻松扩展用户实体添加出生日期等字段，自定义角色、权限体系，集成EF Core支持多种数据库，且完全掌控所有用户数据，避免第三方依赖锁定。
• 电商平台的选择要结合团队能力和需求：
  • 若团队熟悉.NET生态，对数据主权要求高，需要快速集成现有业务系统，优先选ASP.NET Core Identity + SQL Server，成本低、可控性强，适合中小规模电商或对数据安全要求极高的场景。
  • 若需要多应用统一登录（SSO）、多租户管理，或不想投入精力维护认证服务底层，选Keycloak/Duende自托管，适合中大型电商，能支持社交登录、权限精细化管理等复杂场景。
  • 若团队资源有限，追求快速上线，且能接受第三方数据托管，选Auth0/Azure B2C托管服务，自带合规认证（GDPR、PCI）、安全防护，无需自己维护认证服务，但会产生订阅成本，且数据主权受限于第三方。

内容的提问来源于stack exchange，提问作者Boris