IdentityServer 5 安全更新责任归属及长期运维风险咨询

安全更新责任主体 #

• Identity Server 从 5.0 版本起正式由 Duende Software 负责全量维护，官方的安全补丁、漏洞修复、功能迭代均由该团队输出，只要你采购了对应场景的商用授权，即可获取官方的安全更新支持。
• 额外提示：你当前的技术栈为 .net 5.0，选型时需确认选用的 Identity Server 5.0 子版本与 .net 5.0 运行时的兼容范围，避免后续官方更新放弃对旧版本运行时支持的适配问题。

Duende Software 停止运营的风险应对措施 #

• 第一，Identity Server 5.0 核心代码开源，你可提前在内部留存所选版本的完整源码备份，就算官方停止运营，你方或第三方技术服务商也可基于源码自行开发安全补丁、修复已知问题，不会出现无方案可用的情况。
• 第二，架构设计阶段做好IDP层的抽象隔离，不要让上层业务代码直接依赖 Identity Server 的特有实现，后续如果需要替换为其他IDP方案，仅需适配抽象层接口即可，无需大规模改动业务逻辑，大幅降低迁移成本。
• 第三，企业级商用采购时可在授权协议中约定永久源码授权条款，就算 Duende 后续停止运营，你方也拥有合法的二次开发、修改权限，不存在 license 层面的使用风险。

内容的提问来源于stack exchange，提问作者Sal