寻求OAuth、OpenID Connect、WebAuthn之外的优质认证授权技术替代方案

1. Kerberos #

• 安全性：基于票据的认证机制，全程不传输明文密码，依赖对称加密和可信第三方KDC（密钥分发中心），能有效抵御窃听、重放攻击；支持跨域身份验证，权限控制粒度细。
• 用户体验：企业内部网络环境下，用户只需登录一次就能访问所有授权服务（单点登录），无需重复输入凭证；桌面端应用适配成熟，几乎无额外操作负担。
• 适用场景：企业内部系统、局域网服务集群，尤其是Windows域环境下的应用集成。

2. SAML 2.0 #

• 安全性：采用XML签名和加密保障消息完整性与机密性，支持细粒度授权断言，可在不同安全域间安全传递身份信息；成熟标准规范，经过多年企业级场景验证。
• 用户体验：实现跨平台单点登录，用户在身份提供商（IdP）处登录后，可无缝访问多个服务提供商（SP）的应用；现代浏览器原生支持，无需额外安装插件。
• 适用场景：跨企业业务系统集成、B2B场景身份互通，尤其是与传统企业级应用对接的场景。

3. Mutual TLS (mTLS) #

• 安全性：双向证书验证，客户端与服务器互相验证对方数字证书，从传输层建立安全通道；避免密码泄露风险，有效防范中间人攻击，适合高安全要求场景。
• 用户体验：桌面端或移动端应用可将证书内置在设备或通过安全容器管理，用户无需手动输入密码，实现无感认证；但首次配置证书需一定操作，适合用户群体固定、安全优先级极高的场景。
• 适用场景：金融、医疗等敏感行业内部服务、API网关身份验证，IoT设备身份识别。

4. Central Authentication Service (CAS) #

• 安全性：基于Ticket的单点登录协议，支持多种认证方式（用户名密码、证书、双因素等），提供细粒度权限控制；支持单点注销，可及时收回用户访问权限。
• 用户体验：轻量级Web界面，登录流程简洁，支持跨域单点登录，用户无需重复认证；开源社区活跃，客户端适配库丰富，集成成本低。
• 适用场景：教育机构、中小规模企业内部系统集群，需要快速实现单点登录的场景。

经验见解 #

• 选方案需平衡安全性与用户体验：高安全方案（如mTLS）可能初始配置有门槛，适合用户群体固定、安全优先级极高的场景；Kerberos、CAS这类方案在企业内部能兼顾效率与安全。
• 面向C端用户时，优先考虑无需额外硬件/复杂配置的方案，可结合无密码认证思路（如基于设备指纹的辅助认证，但需注意隐私合规）。
• 毕业论文中可重点分析不同方案的威胁模型对比，比如Kerberos的KDC单点风险、SAML的XML解析漏洞风险等，结合场景评估适用性。

内容的提问来源于stack exchange，提问作者jfk_1996