为 Better Auth 应用添加企业级 SSO 与 SCIM 的实践指南

Better Auth 为开发者提供了简洁的登录与会话管理能力，但当客户群体扩大到中大型企业时，SAML、OIDC 单点登录和 SCIM 目录同步几乎成为必选项。如何在保留现有认证架构的同时接入这些企业级能力？一条被验证过的路径是：继续用 Better Auth 处理常规登录和会话，把企业 SSO 与目录同步交给 WorkOS 承接。本文基于这一思路，拆解集成背后的架构取舍与落地要点。

为什么不在 Better Auth 内部自建 SSO

Better Auth 的定位是轻量、可组合的认证库，它擅长的是邮箱密码、OAuth 社交登录、会话管理等通用场景。而企业 SSO 涉及的是另一套复杂度：SAML 断言解析、IdP 元数据交换、证书轮换、多租户配置隔离、审计日志，以及各家企业 IdP 实现之间的兼容性差异。

这些工作并非不能做，但投入产出比很低。每新增一个企业客户，往往意味着一次新的 IdP 对接调试。把这块交给 WorkOS 这类专门的服务，等于用外部能力换掉自建维护成本，而 Better Auth 仍然掌握用户会话这一核心层。

SAML 与 OIDC 的差异：SAML 2.0 是基于 XML 的断言协议，企业 IdP 通常只支持 SAML，其元数据交换、签名验证和证书轮换流程较为繁琐；OIDC 则是基于 JSON 和 OAuth 2.0 的现代协议，更轻量但企业支持度稍低。两者并存意味着应用需要处理两套认证流程，而 WorkOS 这类服务将它们统一抽象，降低了对接复杂度。

SCIM 的作用：SCIM（System for Cross-domain Identity Management）是用于自动化用户和群组供应的标准协议。当企业客户在 IdP 中增删员工或调整群组时，SCIM 能将这些变更实时同步到应用，避免手动开通账号和权限残留。对于中大型企业，SCIM 是身份生命周期管理的关键组件。

职责划分：谁管登录，谁管企业身份

这套方案的关键在于边界清晰。Better Auth 继续负责普通用户的注册、登录、会话签发与校验；WorkOS 负责企业侧的 SAML/OIDC 认证流程和 SCIM 目录同步。两者通过一次身份转换衔接：用户在 WorkOS 完成企业 IdP 认证后，应用侧拿到身份信息，再映射到 Better Auth 的用户体系。

这种划分的好处是渐进式。已有用户不受影响，仍然走原有登录路径；只有需要 SSO 的企业客户才进入 WorkOS 流程。会话层不需要重建，现有基于 Better Auth 的鉴权中间件、权限判断都能继续复用。

集成落地的几个关键环节

身份映射与会话衔接

WorkOS 返回的企业身份需要与应用内用户记录建立稳定映射。常见做法是以邮箱或 WorkOS 用户 ID 作为关联键，在 Better Auth 侧查找或创建对应账户，然后签发本地会话。这里要提前想清楚账户合并策略：同一邮箱既可能来自社交登录，也可能来自企业 SSO，冲突处理规则需要明确。

多租户与组织建模

企业 SSO 天然是多租户场景。每个企业客户对应独立的 WorkOS Organization，配置各自的 IdP 连接。应用侧需要把组织 ID 透传到业务逻辑中，用于数据隔离和权限控制。SCIM 同步则负责把企业目录中的用户和群组变更同步过来，减少手动开通账号的运维负担。

WorkOS Organization 模型：在 WorkOS 中，每个企业客户对应一个 Organization，该组织下可配置多个 IdP 连接（如 SAML 或 OIDC），并独立管理目录同步（Directory Sync）。应用侧通过 Organization ID 关联业务数据，实现租户隔离。这种模型天然支持一个企业多个 IdP 或部门级 SSO 的场景，同时简化了多租户配置管理。

登出与生命周期管理

企业场景对登出有更高要求：用户在 IdP 侧登出后，应用会话也应失效。这需要处理 WorkOS 的登出回调，并联动清理 Better Auth 会话。员工离职时的账号停用同样依赖 SCIM 的同步事件，否则容易出现权限残留。

单点登出（SLO）与 SCIM 事件：SAML 和 OIDC 均支持单点登出流程，但实现方式各异。WorkOS 提供登出回调，应用需在收到回调后使本地会话失效。SCIM 则通过事件通知（如用户停用、群组变更）触发应用侧更新，确保权限与目录状态一致。这两者共同构成企业身份生命周期的闭环，防止离职员工仍保有访问权限。

这套组合适合谁

如果产品面向的是中小团队，自建或直接用 Better Auth 的社交登录就足够。但当销售开始遇到"能不能对接我们的 Okta/Azure AD"这类问题时，提前准备好 SSO 与 SCIM 能力会显著降低成单阻力。保留 Better Auth 做会话、引入 WorkOS 做企业身份，是一种折中但务实的架构选择——既不重写认证体系，也不被企业级需求卡住。

需要提醒的是，引入外部身份服务意味着多一个依赖和一份数据流转路径，合规与数据驻留要求高的场景需要单独评估。对多数 SaaS 产品而言，这笔交换是划算的。