微服务统一认证场景应选Ory Kratos、Hydra还是二者组合？

你的重构迁移场景必须搭配Ory Kratos + Ory Hydra使用，单独选用任意一个组件都无法覆盖兼容遗留系统、API模式解耦、灵活认证的全部需求，不存在二选一的空间。

核心概念逻辑梳理（解决OIDC适配的认知问题） #

先把两个组件的职责边界说透，刚接触Ory栈的开发者很容易在这里混淆：

• Kratos是纯身份管理组件：只管和"用户身份本身"相关的逻辑——存量用户数据导入、密码/验证码/第三方登录校验、用户资料存储、基础登录态签发，原生支持你要的API模式，不需要走浏览器重定向流程，前端可以直接对接接口完成全链路认证操作，完全满足你要的和前端解耦、微服务不需要持有无关配置的要求。但Kratos本身不实现标准OAuth2/OIDC协议，原生输出的登录态只有私有格式的session，没法直接给不对接Kratos SDK的服务用。
• Hydra是纯OAuth2/OIDC协议层组件：它本身不存任何用户数据、不做任何登录密码校验的逻辑，唯一的作用就是把上游身份组件（这里就是Kratos）输出的认证结果，包装成完全符合OIDC标准的Token（Access Token、Refresh Token、ID Token），对外提供标准的Token校验、权限范围控制、Token吊销能力。

你之前看到的"搭配Hydra支持OIDC"的正确调用逻辑是：所有下游业务服务（不管是新微服务还是老legacy系统）不需要直接对接Kratos，只需要对接Hydra暴露的标准OIDC接口即可。用户通过Kratos的API模式完成身份校验后，Kratos会把认证成功的凭证透传给Hydra，由Hydra签发标准Token，下游服务只要支持通用的OIDC Token校验逻辑就能接入，完全不需要适配Kratos的私有session格式，迁移成本极低。

具体落地问题解决方案 #

问题1：现有API原生不支持OIDC认证 #

按以下步骤落地即可，全程不需要改造核心业务逻辑：

• 部署Kratos时选择API运行模式，关闭默认的浏览器流重定向逻辑，按照Kratos的identity schema映射存量用户字段，老系统存储的bcrypt/argon2等通用格式的密码哈希可以直接批量导入，不需要求用户重置密码。
• 配置Hydra的登录/注册回调地址指向Kratos的对应API端点，用户调用Kratos接口完成登录拿到有效session后，直接凭session向Hydra申请授权码、换取OIDC Token，全流程都是纯API交互，没有页面跳转，完全符合你选API模式的初衷。
• 在网关层或者业务服务里加一层轻量认证适配：请求如果携带标准Authorization: Bearer <token>头，就走Hydra的Token校验接口验证有效性；如果没带就走原有legacy系统的session校验逻辑，实现灰度切流，不用一次性把所有老系统的认证逻辑全换掉。

问题2：当前仅支持session认证，需要更灵活的认证能力 #

搭配Hydra之后可以直接获得以下比原生session灵活得多的能力，不需要二次开发：

• 无状态认证支持：Hydra可以签发JWT格式的Access Token，微服务只需要提前同步Hydra的公钥，就能在本地完成Token校验，不需要每次请求都回源查认证服务，性能远高于服务端session模式，非常适配微服务架构。
• 细粒度权限控制：签发Token时可以自定义claims字段，把用户角色、所属租户、可访问接口范围（scope）等信息直接写入Token，下游服务不需要额外调用用户中心接口就能完成权限判断。
• 多端策略适配：可以给Web端、移动端、第三方接入方分别创建独立的OIDC客户端，给每个客户端配置不同的Token有效期、刷新策略、权限范围，比如给移动端配置30天有效期的Refresh Token，给管理后台配置2小时有效期的Access Token，同时支持主动吊销指定客户端、指定用户的Token，灵活度远高于统一的session策略。
• 遗留系统兼容：可以给legacy系统单独配置专属客户端，签发的Token里直接携带老系统需要的用户ID、原有session关联字段，老系统只需要加一个简单的Token解析中间件就能接入，不需要重构原有认证模块。

落地避坑提示 #

• 不要尝试单独用Kratos二次封装OIDC能力：Kratos的session是私有格式，自己实现OIDC协议层相当于重写70%以上的Hydra逻辑，后续协议兼容性、安全漏洞修复的成本极高。
• 不要尝试单独用Hydra对接原有用户库：Hydra没有现成的密码校验、账号找回、登录防暴力破解、用户资料管理能力，自己补全这些逻辑相当于重写半个Kratos，完全违背你不想从零实现认证流程的初衷。
• API模式部署时记得提前对齐Kratos和Hydra的CORS配置，避免前端调用出现跨域问题；存量用户导入前一定要在测试环境验证老密码哈希的兼容性，避免上线后出现大面积用户无法登录的问题。

内容的提问来源于stack exchange，提问作者Niro