开发APP需轻量身份认证服务，Keycloak过于厚重求替代方案及选型建议

1. Keycloak的轻量替代方案 #

以下是符合你需求的轻量认证服务选项，均支持基础用户身份识别、谷歌OAuth登录，资源占用和集成难度远低于Keycloak：

• Casdoor：开箱即用的开源身份管理服务，单容器部署资源占用不足100M，默认内置移动端、网页端集成SDK，不需要的企业级功能可直接关闭，配置门槛极低
• Authelia：单二进制文件即可启动的云原生认证服务，完全兼容OIDC、OAuth2协议，仅通过yaml文件即可完成所有基础配置，没有冗余功能
• 云服务商托管的认证服务：各大云厂商均有serverless形态的身份认证产品，不需要自己部署维护，按调用量计费，适合小型项目快速上线

2. 是否应该自行实现认证功能 #

除非你有专业的安全团队可对全流程做持续的安全审计，否则不建议自行实现完整的认证逻辑。

即便是看起来简单的JWT签发校验，生产环境需要考虑的安全点非常多：密钥安全轮转、token过期/刷新策略、防重放攻击、跨端token存储安全、第三方OAuth登录的回调校验、暴力破解防护等，任何一个环节疏漏都可能导致用户数据泄露、账号被盗等严重安全事故。
如果仅需要在业务侧处理JWT校验，是完全可行的，你可以用成熟的第三方认证服务负责签发token，业务侧只用公钥做有效性校验即可，这部分逻辑简单，风险可控。

3. 是否需要深入研读Keycloak官方文档 #

如果你确定1-2年内你的业务不会用到多租户、企业级SAML单点登录、复杂角色权限映射、多身份源整合这类Keycloak的专属功能，完全不需要花时间深入研读官方文档。
Keycloak的文档体量极大，90%以上的内容都和你当前的基础需求无关，投入大量时间学习的投入产出比极低。如果后续业务发展确实需要用到Keycloak的复杂能力，再针对性查询对应模块的文档即可。 #

内容的提问来源于stack exchange，提问作者TheBohne