统一用户验证选 passport / Sanctum / JWTToken 那个一个好捏？

JWT最快，Passport可能比较符合后期需求，Sanctum没用过

JWT

Passport

tymondesigns/jwt-auth 已经停更了

cookie/session就挺好 自动续期

必须passport，后期扩展方便，并且现在也支持多表了。

jwt不就是基础版的passport

一直passport， jwt看过感觉简单很多

jwt简单又实用

用jwt吧

Sanctum最简单，挺好用的

楼主最后为啥采用了Sanctum 可以说一下吗

Sanctum

我最近也在调研这方面的解决方案，我们主要是想实现一个 IDaaS，就是一套包含 5A 的系统。

1.Account

2.Authorization

3.Authentication

4.Application

5.Audit

对比了阿里云的 IDaaS 和 Authing 的服务，感觉 Authing 更符合需求，切更容易接入，那么需要考虑的就是成本问题。

开源的方案也有 Ory 的一整套解决方案，但是实现相对复杂，基于 Golang 开发的，最近也在阅读和研究源码。

经过这么一顿调研后发现，其实要实现简单的 SSO 是没啥难度的，Passport 就剩胜任，但是对于应用的管理或是 API Gateway 的统一鉴权就比较麻烦，API Gateway 支持的 JWT 和 OIDC 与 Passport 的 AccessToken 无法完美适配。

其实 Passport 的 AccessToken 也是 JWT 的一种，只是签名加密算法采用的 RSA 等非对称算法，现在总算摸透了为啥那些大佬都说 JWT 适合与为服务的认证。

基于 Passport 实现的 SSO 其实本质上用户信息还是分散的，因为你在系统中需要获取用户信息，关联被授权应用中的用户信息，5A 中的 Account 服务也是为了解决这个问题。光靠这个 Account 服务还无法完美解决账户分散的问题，需要在业务层面设计不同系统或服务中仅通过 ID Token 来关联用户信息，系统或服务不需要存储用户任何信息。

完成了 SSO 之后，还有一个问题就是 SLO （单点登出），当然这个不是每个系统都需要这么个功能。